Autenticar usando SASL autogerenciado e LDAP com OpenLDAP

Especifique o mecanismo.

Em sistemas que configuram o saslauthd com o arquivo /etc/sysconfig/saslauthd, como Red Hat Enterprise Linux, Fedora, CentOS e Amazon Linux AMI, configure o mecanismo MECH para ldap:

MECH=ldap

Em sistemas que configuram o saslauthd com o arquivo /etc/default/saslauthd, como Ubuntu, configure a opção MECHANISMS para ldap:

MECHANISMS="ldap"

Ajustar comportamento de cache.

Em certas distribuições do Linux, o saslauthd começa com o cache de credenciais de autenticação habilitadas. Até que seja reiniciado ou até que o cache expire, saslauthd não entrará em contato com o servidor LDAP para autenticar novamente os usuários em seu cache de autenticação. Isso permite que saslauthd autentique com êxito os usuários em seu cache, mesmo que o servidor LDAP esteja inativo ou se as credenciais dos usuários armazenados em cache forem revogadas.

Para definir o tempo de expiração (em segundos) para o cache de autenticação, consulte a opção -t de saslauthd.

Configure opções LDAP com OpenLDAP.

Se o arquivo saslauthd.conf não existir, crie-o. O arquivo saslauthd.conf geralmente reside na pasta /etc . Se especificar um caminho de arquivo diferente, consulte a opção -O de saslauthd.

Para conectar a um servidor OpenLDAP, atualize o arquivo saslauthd.conf com as seguintes opções de configuração:

ldap_servers: <ldap uri>
ldap_search_base: <search base>
ldap_filter: <filter>

O ldap_servers especifica o uri do servidor LDAP usado para autenticação. Em geral, para OpenLDAP instalado na máquina local, você pode especificar o valor ldap://localhost:389 ou se utilizar LDAP sobre TLS/SSL, você pode especificar o valor ldaps://localhost:636.

O ldap_search_base especifica o nome distinto ao qual a pesquisa é relativa. A pesquisa inclui a base ou os objetos abaixo.

O ldap_filter especifica o filtro de pesquisa.

Os valores dessas opções de configuração devem corresponder aos valores específicos do seu teste. Por exemplo, para filtrar por e-mail, especifique ldap_filter: (mail=%n) .

ldap_servers: ldaps://ad.example.net
ldap_search_base: ou=Users,dc=example,dc=com
ldap_filter: (uid=%u)

Teste a configuração do saslauthd.

Utilize o utilitário testsaslauthd para testar a configuração do saslauthd. Por exemplo:

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

• 0: OK "Success" indica autenticação bem-sucedida.

• 0: NO "authentication failed" indica um nome de usuário, senha ou erro de configuração.

Modifique o caminho do arquivo em relação à localização do diretório saslauthd no sistema operacional do host.

Adicionar usuário ao MongoDB para autenticação.

Adicione o usuário ao banco de dados do $external no MongoDB. Para especificar os privilégios do usuário, atribua funções ao usuário.

Para usar Client Sessions e Causal Consistency Guarantees com usuários de autenticação $external (usuários Kerberos, LDAP ou x.509), os nomes de usuário não podem ter mais de 10k bytes.

Por exemplo, o seguinte adiciona um usuário com acesso somente leitura ao banco de dados do records.

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

Adicione entidades adicionais conforme necessário. Para obter mais informações sobre como criar e gerenciar usuários, consulte Comandos de gerenciamento de usuários.

Configurar servidor MongoDB.

Para configurar o Servidor MongoDB para usar a instância do saslauthd para autenticação proxy, inclua as seguintes opções ao iniciar o mongod:

• Opção de linha de comando do --auth ou configuração do security.authorization,

• parâmetro authenticationMechanisms definido como PLAIN, e

• O parâmetro saslauthdPath definido para o caminho do soquete de domínio Unix da instância saslauthd.

  Importante

  O diretório pai do arquivo de soquete de domínio Unix do saslauthd especificado para security.sasl.saslauthdSocketPath ou --setParameter saslauthdPath deve conceder permissões de leitura e execução (r-x) para:

  • O usuário iniciando o mongod ou mongos, ou

  • Um grupo ao qual esse usuário pertence.

  O mongod ou mongos não pode autenticar com sucesso via saslauthd sem a permissão especificada no diretório saslauthd e seu conteúdo.

Se você utilizar a opção authorization para impor a autenticação, você precisará de privilégios para criar um usuário.

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

Ou se estiver usando um arquivo de configuração no formato YAML, especifique as seguintes configurações no arquivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

Ou, se estiver usando o formato de arquivo de configuração mais antigo:

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

Ou se estiver usando um arquivo de configuração no formato YAML, especifique as seguintes configurações no arquivo:

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

Ou, se estiver usando o formato de arquivo de configuração mais antigo:

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implantação ou se os membros da implantação forem executados em hosts diferentes, especifique a configuração net.bindIp.

Autentique o usuário no mongosh.

Você pode autenticar a partir da linha de comando durante a conexão ou conectar primeiro e então autenticar utilizando o método db.auth().

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

O servidor encaminha a senha em texto sem formatação. Em geral, use apenas em um canal confiável (VPN, TLS/SSL, rede cabeada confiável). Consulte Considerações.