在Linux上使用Kerberos身份验证配置自管理MongoDB

mongod在不Kerberos的情况下启动 。

初次添加 Kerberos 用户时，启动 mongod 不支持 Kerberos。

如果 MongoDB 中已经存在 Kerberos 用户，且该用户拥有创建用户所需的权限，那么就可以启动支持 Kerberos 的 mongod。

根据您的部署包含其他设置。

连接到mongod 。

将 mongosh 连接到 mongod 实例。如果 mongod 已启用 --auth，请确保使用创建用户所需的权限进行连接。

将 Kerberos 主体添加到 MongoDB。

在 $external 数据库中为 MongoDB 添加 Kerberos 主体（<username>@<KERBEROS REALM> 或 <username>/<instance>@<KERBEROS REALM>）。用大写字母指定 Kerberos Realm。$external 数据库允许 mongod 查询外部来源（例如 Kerberos）进行身份验证。如需指定用户的权限，请为用户分配角色。

要对$external身份验证用户（Kerberos、LDAP 或 x.509 用户）使用客户端会话和因果一致性保证，用户名不能大于 10k 字节。

以下示例将有只读访问权限的 Kerberos 主体 application/reporting@EXAMPLE.NET 添加至 records 数据库：

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

根据需要添加额外主体。对于要使用 Kerberos 进行身份验证的每个用户，必须在 MongoDB 中创建相应的用户。有关创建和管理用户的更多信息，请参阅用户管理命令。

启动mongod ，支持Kerberos 。

如需启动支持 Kerberos 的 mongod，请将环境变量 KRB5_KTNAME 设置为 keytab 文件的路径，并将 mongod 参数 authenticationMechanisms 设置为 GSSAPI，格式如下：

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

例如，以下代码启动一个支持 Kerberos 的独立 mongod 实例：

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

您的 mongod 和 keytab 文件的路径可能不同。keytab 文件必须只能由 mongod 进程的所有者访问。

对于正式的 .deb 或 .rpm 包，可以在环境设置文件中设置 KRB5_KTNAME。有关详细信息，请参阅 KRB5_KTNAME。

将 mongosh连接到 mongod并进行身份验证。

以 Kerberos 主体 application/reporting@EXAMPLE.NET 的身份连接 mongosh 客户端。连接之前，必须使用 Kerberos 的 kinit 程序获取 application/reporting@EXAMPLE.NET 的凭证。

您可以从命令行进行连接和身份验证。

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

如果您要连接到主机名与 Kerberos 名称匹配的系统，请确保为 --host 选项指定完全限定域名 (FQDN)，而不是 IP 地址或非限定主机名。

如果要连接到主机名与 Kerberos 名称不匹配的系统，请先将 mongosh 连接到 mongod，然后从 mongosh 中，使用 db.auth() 方法在 $external 数据库中进行身份验证。

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )