身份验证机制

连接 URI

首先， C++驾驶员会检查您是否将Amazon Web Services凭证作为连接 URI 的一部分传递给 MongoClient 构造函数。 要在连接 URI 中传递凭证，请设立以下连接选项：

• username：要进行身份验证的Amazon Web Services IAM访问权限密钥ID 。

• password： Amazon Web Services IAM 秘密访问权限密钥。

• authMechanism：设置为"MONGODB-AWS" 。

您可以在创建 mongocxx::client对象时在连接string中设立这些选项，如以下示例所示：

auto uri = mongocxx::uri("mongodb://<AWS IAM access key ID>:<AWS IAM secret access key>@<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

您还可以通过将Amazon Web Services会话令牌传递给 authMechanismProperties 参数来包含该令牌：

auto uri = mongocxx::uri("mongodb://<AWS IAM access key ID>:<AWS IAM secret access key>@<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWSS&authMechanismProperties=AWS_SESSION_TOKEN:<token>");
auto client = mongocxx::client(uri);

环境变量

如果在构造 MongoClient对象时未提供用户名和密码， C++驾驶员会尝试从以下环境变量中检索Amazon Web Services凭证：

• AWS_ACCESS_KEY_ID

• AWS_SECRET_ACCESS_KEY

• AWS_SESSION_TOKEN （可选）

要使用这些环境变量对应用程序进行身份验证，请先将它们设置为身份验证所需的Amazon Web Services IAM 值，如以下代码示例所示：

export AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
export AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
export AWS_SESSION_TOKEN=<AWS session token>

设立这些环境变量后，将连接 URI 中的authMechanism参数设立为"MONGODB-AWS" ，如以下示例所示：

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

AssumeRoleWithWebIdentity 请求

如果您的应用程序通过 OpenID Connect (OIDC) 身份提供商对 EKS集群的用户进行身份验证，则C++驾驶员可以发出 AssumeRoleWithWebIdentity请求，用 OIDC 令牌交换应用程序的临时Amazon Web Services凭证。

要使用 AssumeRoleWithWebIdentity请求返回的临时Amazon Web Services IAM凭证进行身份验证，请确保您的环境中存在Amazon Web Services配置文件，并且配置了 AWS_WEB_IDENTITY_TOKEN_FILE 和 AWS_ROLE_ARN 环境变量。 要学习；了解如何创建和配置Amazon Web Services 配置文件，请参阅 配置 在Amazon Web Services 文档中。

为AssumeRoleWithWebIdentity请求配置环境后，将连接 URI 中的authMechanism参数设立为"MONGODB-AWS" ，如以下示例所示：

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

有关使用 AssumeRoleWithWebIdentity 请求对应用程序进行身份验证的更多信息，请参阅以下Amazon Web Services文档：

• AssumeRoleWithWebIdentity

• 从 OpenID Connect 身份提供者对集群用户进行身份验证

ECS Metadata

如果您的应用程序在弹性容器服务 (ECS)容器运行，则C++驾驶员可以自动从凭证端点检索临时Amazon Web Services档案。 为此，在名为AWS_CONTAINER_CREDENTIALS_RELATIVE_URI的环境变量中指定 ECS 端点的 URI，如以下示例所示：

export AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=<URI of the ECS endpoint>

设立环境变量后，将连接 URI 中的authMechanism参数设立为"MONGODB-AWS" ，如以下示例所示：

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

EC 2实例元数据

C++驾驶员可以自动从Amazon Web Services AmazonElastic Cloud Compute (EC)实例检索临时2 凭证。要使用 EC 2实例中的临时凭证，请将连接 URI 中的authMechanism参数设立为"MONGODB-AWS" ，如以下示例所示：

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);