身份验证机制

Overview

在本指南中，您可以了解如何使用 MongoDB Community Edition中提供的身份验证机制。 连接到 MongoDB 时，可以使用身份验证机制在驱动程序和服务器之间建立信任。

本指南介绍了以下身份验证机制：

• 基于 SCRAM 的机制

• MONGODB-AWS 机制

• MONGODB-X 509机制

要选择特定的身份验证机制，您可以在连接字符串的选项或 Credential结构中指定机制、凭证和其他必要信息。

本指南中的示例演示了如何在Credential结构中配置身份验证。

要了解有关用于身份验证的连接string 选项的更多信息，请参阅 stringMongoDB Server手册中连接 URI 格式指南的 身份验证选项 部分。

基于 SCRAM 的机制

Salted 质询响应身份验证机制 (SCRAM) 是指一组使用用户名和密码向服务器进行身份验证的身份验证机制。

MongoDB 支持以下基于 SCRAM 的身份验证机制：

• SCRAM-SHA- 256 ：一种身份验证机制，使用数据库用户名和密码，并通过SHA-256算法加密

• SCRAM-SHA- 1 ：一种身份验证机制，使用数据库用户名和密码，并通过SHA-1算法加密

let uri = "<connection string>";
let mut client_options = ClientOptions::parse(uri).await?;
let default_cred = Credential::builder()
    .username("<db_username>".to_string())
    .password("<db_password>".to_string())
    .source("<db>".to_string())
    .build();
client_options.credential = Some(default_cred);
let client = Client::with_options(client_options)?;

let uri = "<connection string>";
let mut client_options = ClientOptions::parse(uri).await?;
let scram_sha_256_cred = Credential::builder()
    .username("<db_username>".to_string())
    .password("<db_password>".to_string())
    .mechanism(AuthMechanism::ScramSha256)
    .source("<db>".to_string())
    .build();
client_options.credential = Some(scram_sha_256_cred);
let client = Client::with_options(client_options)?;

let uri = "<connection string>";
let mut client_options = ClientOptions::parse(uri).await?;
let scram_sha_1_cred = Credential::builder()
    .username("<db_username>".to_string())
    .password("<db_password>".to_string())
    .mechanism(AuthMechanism::ScramSha1)
    .source("<db>".to_string())
    .build();
client_options.credential = Some(scram_sha_1_cred);
let client = Client::with_options(client_options)?;

MONGODB-AWS 机制

MONGODB-AWS 身份验证机制使用 Amazon Web Services Identity and Access Management (AWS IAM) 档案对用户进行身份验证。

要使用该身份验证机制，您必须将 aws-auth 功能标志添加到项目的 Cargo.toml 文件中的 mongodb 依赖项。下面的示例展示了您的 mongodb 依赖项功能列表必须包含哪些内容才能启用 MONGODB-AWS 身份验证机制：

[dependencies.mongodb]
version = "3.2.0"
features = [ "aws-auth", ... ]

驱动程序仅从找到档案的第一个来源获取档案。 驱动程序会按以下顺序从以下来源检查您的档案：

1. Credential struct 或 connection string 。

2. 环境变量。

3. Web 身份令牌文件。

4. AWS_CONTAINER_CREDENTIALS_RELATIVE_URI 环境变量中指定的Amazon Web Services ECS 端点。

5. Amazon Web ServicesAmazon Web Services EC2 端点。有关更多信息，请参阅Amazon Amazon Web ServicesWeb Services文档中的任务 的 IAM 角色。

例如，如果您在Amazon Web Services 连接 中指定string 档案，则驱动程序将使用这些档案并忽略您在环境变量中指定的任何档案。

从下面的 Credential Struct 、 Environment Variables和Web Identity Token File标签页中选择代码示例，演示如何以相应的方式设置 Amazon Web Services IAM 档案。

1
let uri = "<connection string>";
2
let mut client_options = ClientOptions::parse(uri).await?;
3
4
let aws_cred = Credential::builder()
5
    .username("<access key ID>".to_string())
6
    .password("<secret access key>".to_string())
7
    .source("<db>".to_string())
8
    .mechanism(AuthMechanism::MongoDbAws)
9
    .mechanism_properties(doc!("AWS_SESSION_TOKEN": "<session token>"))
10
    .build();
11
12
client_options.credential = Some(aws_cred);
13
let client = Client::with_options(client_options)?;

export AWS_ACCESS_KEY_ID=<access key ID>
export AWS_SECRET_ACCESS_KEY=<secret access key>
export AWS_SESSION_TOKEN=<session token>

let uri = "<connection string>";
let mut client_options = ClientOptions::parse(uri).await?;
let aws_cred = Credential::builder().mechanism(AuthMechanism::MongoDbAws).build();
client_options.credential = Some(aws_cred);
let client = Client::with_options(client_options)?;

export AWS_WEB_IDENTITY_TOKEN_FILE=<absolute path to OIDC token file>

let uri = "<connection string>";
let mut client_options = ClientOptions::parse(uri).await?;
let aws_cred = Credential::builder().mechanism(AuthMechanism::MongoDbAws).build();
client_options.credential = Some(aws_cred);
let client = Client::with_options(client_options)?;

MONGODB-X 509机制

MONGODB-X509身份验证机制将传输级安全性 (TLS) 与 X. 509证书结合使用，对用户进行身份验证，该用户由客户端证书的相对标识名 (RDN) 进行标识。

指定此身份验证机制时，服务器将通过读取以下文件对连接进行身份验证：

• 证书颁发机构 (CA) 文件，其中包含建立 TLS 连接时要信任的一个或多个证书颁发机构

• 证书密钥文件，引用客户端证书私钥

要指定MONGODB-X509身份验证机制，请将Credential结构的mechanism字段设置为AuthMechanism::MongoDbX509 。 此示例使用以下占位符指定身份验证机制：

• path to CA certificate：CA 文件的文件路径

• path to private client key：证书密钥文件的文件路径

• db：与用户关联的身份验证数据库

以下代码展示了如何在连接string中引用证书、指定 MONGODB-X509 身份验证机制以及连接到MongoDB ：

let uri = format!(
    "mongodb://<hostname>:<port>/?tlsCAFile={tlsCAFile}&tlsCertificateKeyFile={tlsCertificateKeyFile}",
    tlsCAFile = "<path to CA certificate>",
    tlsCertificateKeyFile = "<path to private client key>"
);
let mut client_options = ClientOptions::parse(uri).await?;
let x509_cred = Credential::builder().mechanism(AuthMechanism::MongoDbAws).build();
client_options.credential = Some(x509_cred);
let client = Client::with_options(client_options)?;

更多信息

要了解有关向MongoDB进行身份验证的更多信息，请参阅MongoDB Server手册中的身份验证。

要了解有关管理MongoDB部署用户的更多信息，请参阅MongoDB Server手册中的用户。