Menu Docs
Página inicial do Docs
/
MongoDB Ops Manager
/
Segurança
/
Proteger com autenticação

Habilitar autenticação Kerberos para seu projeto do Ops Manager

Nesta página

  • Visão geral
  • Considerações
  • Procedimentos

Visão geral

O Ops Manager permite configurar os mecanismos de autenticação que todos os clientes, incluindo os agentes do Ops Manager, usam para se conectar aos MongoDB deployments. Você pode habilitar vários mecanismo de autenticação para cada um dos seu projeto, mas deve escolher apenas um mecanismo para o agente.

MongoDB Enterprise oferece suporte à autenticação usando um serviço Kerberos. O Kerberos é um protocolo de autenticação padrão do setor para grandes sistemas de cliente/servidor.

Importante

A instalação e a configuração de um sistema do Kerberos estão além do escopo deste documento. Este tutorial pressupõe que você tenha configurado um principal Kerberos para cada agente e tenha um arquivo keytab válido para cada agente.

Para autenticar o MongoDB com Kerberos, você deve:

  1. Tenha um sistema Kerberos configurado corretamente,

  2. Configurar entidades de serviço Kerberos para MongoDB e

  3. Adicione as entidades de usuário Kerberos para os agentes.

A seção Autenticação Kerberos do Manual do MongoDB fornece mais detalhes sobre o uso do MongoDB com Kerberos.

Considerações

Kerberos (GSSAPI) está disponível apenas nas compilações do MongoDB Enterprise . Se você tiver implantações existentes executando em uma compilação MongoDB Community , você deverá atualizá-las para MongoDB Enterprise antes de habilitar o Kerberos (GSSAPI) para seu projeto MongoDB Ops Manager .

Este tutorial descreve como habilitar o Kerberos para um de seus projetos do Ops Manager e como configurar seus agentes do Ops Manager para se conectarem à sua implantação habilitada para o Kerberos.

Observação

Se você quiser redefinir as configurações de autenticação e TLS para o seu projeto, primeiro desmarque qualquer MongoDB que o Ops Manager managed no seu projeto.

Procedimentos

Esses procedimentos descrevem como configurar e habilitar a autenticação Kerberos ao usar a Automação. Se o Ops Manager não gerenciar seu monitoramento ou backups, você deverá configurá-los manualmente para autenticar usando Kerberos.

Consulte Configurar o MongoDB Agent para Kerberos para obter instruções.

Configurar um sistema Linux existente para autenticação baseada em Kerberos

Se você usar o Ops Manager para managed implantações existentes no Linux em seu projeto, todas as implantações do MongoDB no projeto deverão ser configuradas para autenticação Kerberos antes que você possa habilitar a autenticação Kerberos para seu projeto.

1

Navegue até a Clusters caixa de visualização de seu sistema.

  1. Se ainda não estiver exibido, selecione a organização que contém o projeto desejado no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione o projeto desejado no menu Projects na barra de navegação.

  3. Se ainda não estiver exibido, clique em Deployment na barra lateral.

  1. Clique na visualização Clusters.

2

Na linha listando o processo, clique Modify em .

3

Expanda a Advanced Configuration Options seção.

4

Configure a kerberosKeytab opção.

Se o kerberosKeytab ainda não estiver configurado:

  1. Clique em Add Option.

  2. Expanda a lista Select a Startup Option .

  3. Pesquisar e selecione a opção kerberosKeytab e clique em Add.

  4. Na coluna kerberosKeytab , forneça o caminho absoluto para o arquivo keytab.

  5. Clique em Save.

Após configurar as opções do Kerberos para cada sistema, você poderá habilitar o Kerberos para seu projeto do Ops Manager.

Habilitar Kerberos para seu projeto do Ops Manager

1

Navegue até a Security Settings caixa de diálogo para seu sistema.

  1. Se ainda não estiver exibido, selecione a organização que contém o projeto desejado no menu Organizations na barra de navegação.

  2. Se ainda não estiver exibido, selecione o projeto desejado no menu Projects na barra de navegação.

  3. Se ainda não estiver exibido, clique em Deployment na barra lateral.

  1. Clique na aba Security.

  2. Clique na aba Settings.

  3. Realize uma das seguintes ações:

    • Se esta for a primeira vez que você define as configurações de TLS, autenticação ou autorização para esse projeto, clique em Get Started.

    • Se você já configurou a autenticação do TLS ou as configurações de autorização deste projeto, clique em Edit.

2

Opcional: Especifique as Configurações do TLS.

Campo
em ação
MongoDB Deployment Transport Layer Security (TLS)
Alterne este controle deslizante para ON.
Caminho do arquivo TLS CA

O arquivo da autoridade de certificação TLS é um arquivo de certificado no formato .pem que contém a cadeia de certificados raiz da autoridade de certificação. O MongoDB Agent usa esse mesmo arquivo de autoridade de certificação para se conectar a cada item em seu sistema.

A chave privada criptografada para o .pem arquivo de certificado deve estar em PKCS #1 formato. O MongoDB Agent não é compatível com o PKCS #8 formato.

Digite o caminho do arquivo da autoridade de certificação TLS em cada host que estiver executando um processo do MongoDB:

  • Digite o caminho do arquivo em todos os hosts Linux na primeira caixa.

  • Digite o caminho do arquivo em todos os hosts do Windows na segunda caixa.

Isto habilita a configuração do net.tls.CAFile para os processos do MongoDB no projeto.

Clique em Validate para testar se cada host no seu sistema tem uma Autoridade de Certificado TLS nos caminhos especificados.

Caminho do arquivo TLS CA do cluster

O arquivo .pem que contém a sequência de certificados raiz da autoridade de certificação usada para validar o certificado apresentado por um cliente que estabelece uma conexão. Especifique o nome do arquivo .pem usando caminhos relativos ou absolutos. net.tls.clusterCAFile requer que net.tls.CAFile esteja definido.

Se você não especificar net.tls.clusterCAFile, o cluster usará o arquivo .pem especificado na opção net.tls.CAFile .

net.tls.clusterCAFile permite que você use Autoridades de Certificação separadas para verificar as partes cliente-para-servidor e servidor-para-cliente do handshake TLS.

Modo de certificado de cliente

Selecione se os aplicativos do cliente ou os MongoDB Agents devem apresentar um certificado TLS ao se conectar a um sistema MongoDB habilitado para TLS. Cada sistema do MongoDB verifica se há certificados desses hosts clientes quando eles tentam se conectar. Se você optar por exigir os certificados TLS do cliente, verifique se eles são válidos.

Os valores aceitos são:

Opcional
Cada cliente pode apresentar um certificado TLS válido ao conectar a MongoDB deployments. Os MongoDB Agents podem usar certificados TLS se você não definir mongod tlsMode como None.
Obrigatório
Todo sistema do MongoDB neste projeto começa com conexões de rede criptografadas por TLS. Todos os agentes devem usar o TLS para se conectar a qualquer sistema do MongoDB.

O TLS não é necessário para uso com autenticação Kerberos (GSSAPI) .

3

Escolha o mecanismo de autenticação.

  1. Na seção MongoDB Agent Connections to Deployment, selecione Kerberos (GSSAPI).

  2. Insira seu nome de serviço SASL.

    O SASL Service Name é o nome principal do serviço Kerberos para mongod ou mongos.

Importante

Se você não estiver utilizando a autorização LDAP, você deverá adicionar usuários ao banco de dados do $external em seu sistema MongoDB. Para ver um exemplo, consulte Autenticação Kerberos.

4

Defina as configurações de autorização LDAP.

Importante

Iniciando com MongoDB 3.4, você pode autenticar usuários utilizando certificados LDAP, Kerberos e X.509 sem exigir documento de usuário local no reconhecimento de data center do $external , desde que você habilite primeiro a autorização LDAP. Quando esse usuário se autentica com êxito, o MongoDB executa uma query no servidor LDAP para recuperar todos os grupos que esse usuário LDAP possui e transforma esses grupos em suas funções equivalentes no MongoDB.

Pule esta etapa se não quiser habilitar a autorização LDAP.

  1. Insira valores para os seguintes campos:

    Contexto
    Valor
    LDAP Authorization
    Alterne para ON para habilitar a autorização LDAP.
    Authorization Query Template
    Especifique um modelo para um URL de query LDAP para recuperar uma lista de grupos LDAP para um usuário LDAP.
5

Configure Kerberos (GSSAPI) para os agentes.

Você pode habilitar mais de um mecanismo de autenticação para a implantação do MongoDB, mas os agentes do Ops Manager só podem usar um mecanismo de autenticação. Selecione Kerberos (GSSAPI) para se conectar ao MongoDB deployment.

  1. Selecione a opção Kerberos (GSSAPI) na seção Agent Auth Mechanism .

  2. Forneça credenciais para o MongoDB Agent:

    Se estiver usando Linux, configure:

    Contexto
    Valor
    MongoDB Agent Kerberos Principal
    O Kerberos Principal.
    MongoDB Agent Keytab Path
    O caminho para o Keytab do agente.

    Se estiver usando o Windows, configure:

    Contexto
    Valor
    MongoDB Agent Username
    O nome de usuário do Active Directory.
    MongoDB Agent Password
    A senha do Active Directory.
    Domain
    O nome NetBIOS de um domínio nos Serviços de Domínio do Active Directory. Deve estar em todas as letras maiúsculas.
6

Clique em.<a class=\" \" href=\" \"Save Settings title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

7

Clique Review & Deploy em para rever as suas alterações.

8

Clique Confirm & Deploy em para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

9

Crie roles MongoDB para grupos LDAP. (Opcional)

Depois de habilitar a autorização LDAP, você precisa criar roles personalizadas do MongoDB para cada grupo LDAP especificado para a autorização LDAP.

Voltar

LDAP

Próximo

OIDC