在 Windows 上使用 Kerberos 身份验证配置自管理 MongoDB

mongod.exe在不Kerberos的情况下启动 。

初次添加 Kerberos 用户时，启动 mongod.exe 不支持 Kerberos。

如果 MongoDB 中已经存在 Kerberos 用户，且该用户拥有创建用户所需的权限，那么就可以启动支持 Kerberos 的 mongod.exe。

根据您的部署包含其他设置。

连接到mongod 。

将 mongosh 连接到 mongod.exe 实例。如果 mongod.exe 已启用 --auth，请确保使用创建用户所需的权限进行连接。

将 Kerberos 主体添加到 MongoDB。

在 $external 数据库中为 MongoDB 添加 Kerberos 主体 <username>@<KERBEROS REALM>。以 ALL UPPERCASE 指定 Kerberos 域。$external 数据库允许 mongod.exe 查询外部来源（例如 Kerberos）进行身份验证。要指定用户的权限，请为用户分配角色。

要对 $external 身份验证用户（Kerberos、LDAP 或 x.509 用户）使用客户端会话和因果一致性保证，用户名不能大于 10k 字节。

以下示例将有只读访问权限的 Kerberos 主体 reportingapp@EXAMPLE.NET 添加至 records 数据库：

use $external
db.createUser(
   {
     user: "reportingapp@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

根据需要添加额外主体。对于要使用 Kerberos 进行身份验证的每个用户，必须在 MongoDB 中创建相应的用户。有关创建和管理用户的更多信息，请参阅用户管理命令。

启动mongod.exe ，支持Kerberos 。

必须以服务主体账户的身份启动 mongod.exe。

如需启动支持 Kerberos 的 mongod.exe，请将 mongod.exe 参数 authenticationMechanisms 设置为 GSSAPI。

mongod.exe --setParameter authenticationMechanisms=GSSAPI <additional mongod.exe options>

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

例如，以下代码启动一个支持 Kerberos 的独立 mongod.exe 实例：

mongod.exe --auth --setParameter authenticationMechanisms=GSSAPI --bind_ip localhost,<hostname(s)|ip address(es)>

将 mongosh.exeShell连接到 mongod.exe并进行身份验证。

以Kerberos主体application@EXAMPLE.NET的身份连接mongosh Shell客户端。

您可以从命令行进行连接和身份验证。

使用 cmd.exe：

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase=$external --username reportingapp@EXAMPLE.NET

使用 Windows PowerShell：

mongosh.exe --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username reportingapp@EXAMPLE.NET  

如果您要连接到主机名与 Kerberos 名称匹配的系统，请确保为 --host 选项指定完全限定域名 (FQDN)，而不是 IP 地址或非限定主机名。

如果要连接到主机名与Kerberos名称不匹配的系统，请先将mongosh Shell连接到mongod.exe ，然后从mongosh Shell使用db.auth()方法在$external中进行身份验证。数据库。

use $external
db.auth( { mechanism: "GSSAPI", user: "reportingapp@EXAMPLE.NET" } )