Configure o MongoDB autogerenciado com autenticação Kerberos no Windows

Comece mongod.exe sem Kerberos.

Para a adição inicial de usuários Kerberos, inicie o mongod.exe sem suporte Kerberos.

Se um usuário Kerberos já estiver no MongoDB e tiver os privilégios exigidos para criar um usuário, você poderá iniciar o mongod.exe com suporte Kerberos.

Inclua configurações adicionais conforme apropriado para seu sistema.

Conecte-se a mongod.

Conecte mongosh à instância mongod.exe. Se mongod.exe tiver --auth ativado, verifique se você se conecta com os privilégios necessários para criar um usuário.

Adicione Kerberos Principal(s) ao MongoDB.

Adicione um Kerberos principal, <username>@<KERBEROS REALM>, ao MongoDB no banco de dados $external. Especifique o Kerberos realm em ALL UpperCase. O banco de dados $external permite que mongod.exe consulte uma fonte externa (por exemplo, o Kerberos) para fazer a autenticação. Para especificar os privilégios do usuário, atribua funções ao usuário.

Para usar Client Sessions e Causal Consistency Guarantees com usuários de autenticação $external (usuários Kerberos, LDAP ou x.509), os nomes de usuário não podem ter mais de 10k bytes.

O seguinte exemplo adiciona o principal reportingapp@EXAMPLE.NET Kerberos com acesso somente leitura ao banco de dados records:

use $external
db.createUser(
   {
     user: "reportingapp@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

Adicione entidades adicionais conforme necessário. Para cada usuário que você deseja autenticar usando Kerberos, você deve criar um usuário correspondente no MongoDB. Para obter mais informações sobre como criar e gerenciar usuários, consulte Comandos de gerenciamento de usuários.

Comece mongod.exe o com suporte ao Kerberos.

Você deve iniciar mongod.exe como a conta principal de serviço.

Para iniciar o mongod.exe com compatibilidade com o Kerberos, defina o parâmetro mongod.exe authenticationMechanisms como GSSAPI:

mongod.exe --setParameter authenticationMechanisms=GSSAPI <additional mongod.exe options>

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implantação ou se os membros da implantação forem executados em hosts diferentes, especifique o --bind_ip.

Por exemplo, o seguinte inicia uma instância do mongod.exe independente com suporte Kerberos:

mongod.exe --auth --setParameter authenticationMechanisms=GSSAPI --bind_ip localhost,<hostname(s)|ip address(es)>

Conecte mongo.exe o shell ao mongod.exe e faça a autenticação.

Conecte o cliente de shell mongo.exe como a entidade de segurança Kerberos application@EXAMPLE.NET.

Você pode conectar e autenticar a partir da linha de comando.

Usando cmd.exe:

mongo.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase=$external --username reportingapp@EXAMPLE.NET

Usando Windows PowerShell:

mongo.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username reportingapp@EXAMPLE.NET  

Se você estiver conectando a um sistema cujo nome de host corresponda ao nome Kerberos, especifique o nome de domínio totalmente qualificado (FQDN) para a opção --host, em vez de um endereço IP ou nome de host não qualificado.

Se você estiver se conectando a um sistema cujo nome de host não corresponda ao nome Kerberos, primeiro conecte mongo.exe ao mongod.exe e, em seguida, a partir do shell mongo.exe, use o método db.auth() para autenticar no banco de dados $external.

use $external
db.auth( { mechanism: "GSSAPI", user: "reportingapp@EXAMPLE.NET" } )