在 Linux 上使用 Kerberos 身份验证配置 MongoDB

在没有 Kerberos 的情况下启动 mongod。

初次添加 Kerberos 用户时，启动 mongod 不支持 Kerberos。

如果 MongoDB 中已经存在 Kerberos 用户，且该用户拥有创建用户所需的权限，那么就可以启动支持 Kerberos 的 mongod。

根据您的部署包含其他设置。

连接至 mongod。

将mongosh连接到mongod实例。如果mongod启用了--auth ，请确保使用创建用户所需的特权进行连接。

将 Kerberos 主体添加到 MongoDB。

在 $external 数据库中为 MongoDB 添加 Kerberos 主体（<username>@<KERBEROS REALM> 或 <username>/<instance>@<KERBEROS REALM>）。用大写字母指定 Kerberos Realm。$external 数据库允许 mongod 查询外部来源（例如 Kerberos）进行身份验证。如需指定用户的权限，请为用户分配角色。

要对 $external 身份验证用户（Kerberos、LDAP 或 x.509 用户）使用客户端会话和因果一致性保证，用户名不能大于 10k 字节。

以下示例将有只读访问权限的 Kerberos 主体 application/reporting@EXAMPLE.NET 添加至 records 数据库：

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

根据需要添加额外主体。对于要使用 Kerberos 进行身份验证的每个用户，必须在 MongoDB 中创建相应的用户。有关创建和管理用户的更多信息，请参阅用户管理命令。

在带有 Kerberos 支持的情况下启动 mongod。

如需启动支持 Kerberos 的 mongod，请将环境变量 KRB5_KTNAME 设置为 keytab 文件的路径，并将 mongod 参数 authenticationMechanisms 设置为 GSSAPI，格式如下：

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

例如，以下代码启动一个支持 Kerberos 的独立 mongod 实例：

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

您的 mongod 和 keytab 文件的路径可能不同。keytab 文件必须只能由 mongod 进程的所有者访问。

对于官方.deb或.rpm包，您可以在环境设置文件中设置KRB5_KTNAME 。有关详细信息，请参阅KRB 5 _KTNAME 。

将 mongosh 连接到 mongod 并进行身份验证。

作为 Kerberos 主体application/reporting@EXAMPLE.NET连接mongosh客户端。在连接之前，您必须使用 Kerberos 的kinit程序获取application/reporting@EXAMPLE.NET的档案。

您可以从命令行进行连接和身份验证。

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

如果您要连接到主机名与 Kerberos 名称匹配的系统，请确保为 --host 选项指定完全限定域名 (FQDN)，而不是 IP 地址或非限定主机名。

如果您要连接的系统的主机名与 Kerberos 名称不匹配，请先将mongosh连接到mongod ，然后从mongosh使用db.auth()方法在$external数据库中进行身份验证。

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )