为 X.509 身份验证配置 MongoDB Agent

如果在部署中使用LDAP授权，则必须在MongoDB服务器上为创建LDAP用户和LDAPMongoDB AgentLDAP群组。 创建LDAP用户和群组后，将LDAP群组映射到部署的admin数据库中的MongoDB角色。

对于代表MongoDB 的MongoDB Agent 用户：

1. 在 LDAP 服务器上创建一个名为 的新 LDAP 用户，使用客户端证书的subject 值作为用户名 。

2. LDAP创建名称与MongoDB Agent 角色匹配的 群组。

3. 在 admin数据库中创建具有适当权限的MongoDB Agent角色。

   注意

   激活自动化后，自动化会自动为MongoDB Agent用户创建角色以进行LDAP身份验证。

4. 将LDAP用户分配到LDAP群组。

如果您不使用LDAP 授权，则必须将客户端证书的subject 值添加为MongoDB Agent $externalMongoDB部署的 数据库中的 的用户名。如果没有LDAP授权， MongoDB会使用$external数据库针对 X. 509来对用户进行身份验证。

使用以下命令从mongosh创建用户：

db.getSiblingDB("$external").createUser(
  {
    user : "<x.509 subject>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)

要学习；了解需要哪些访问权限，请参阅MongoDB Agent所需的访问权限。

每个MongoDB用户都必须拥有自己的 X. 509证书。