为 Kerberos 配置 MongoDB Agent

配置 KDC 以颁发具有最短四小时生命周期的票证

Kerberos 票证可以在有限的时间内对用户进行身份验证。 您必须 配置 Kerberos 密钥分发中心 (KDC) 开具有效期为四小时或更长时间的票证。MongoDB Agent会定期更新票证。 KDC服务为用户和主机提供会话票证和临时会话密钥。

添加 Kerberos 作为部署的身份验证机制

MongoDB Agent与部署中的MongoDB数据库交互，就像MongoDB用户一样。因此，您必须配置 MongoDB 部署和 MongoDB Agent 以支持身份验证。

您可以在添加部署时指定部署的身份验证机制，也可以编辑现有部署的设置。部署必须至少启用您希望 MongoDB 助手使用的身份验证机制。 MongoDB 助手可以使用任何受支持的身份验证机制。

就本教程而言，您必须确保满足以下条件：

• 您的部署支持 Kerberos 身份验证和

• MongoDB Agent 使用 Kerberos 身份验证。

要了解如何启用 Kerberos 身份验证，请参阅为 Ops Manager 项目启用 Kerberos 身份验证。

配置 MongoDB Agent 主机以使用 Kerberos

必须在任何运行监控或备份的主机上安装两个与 Kerberos 相关的文件：

• 创建或配置 krb5 .confKerberos 配置文件。

  平台	默认路径	注意
  Linux的	/etc/krb5.conf
  Windows	%WINDIR%\krb5.ini	这是非基于 Active 目录 的 Kerberos 实施的默认路径。请参阅适用于您的 Windows 版本的 Kerberos 实施文档，了解 Kerberos 配置文件的存储位置。

• 在 Linux 系统上：确保 kinit 二进制文件位于/usr/bin/kinit 。kinit获取或续订 Kerberos 票证授予票证，该票证使用 Kerberos 对代理进行身份验证。

为 MongoDB 助手创建 Kerberos 用户主体

为 MongoDB 助手 UPN 创建用户并分配角色

db.getSiblingDB("$external").createUser(
  {
    user : "<Kerberos Principal>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)