使用OpenLDAP自管理SASL和LDAP进行认证

指定机制。

在配置了saslauthd的/etc/sysconfig/saslauthd文件的系统上，例如Red Hat Enterprise Linux、Fedora、CentOS和Amazon Linux AMI，将机制MECH设置为ldap

MECH=ldap

在配置了saslauthd的/etc/default/saslauthd文件的系统上，例如Ubuntu，将MECHANISMS选项设置为ldap

MECHANISMS="ldap"

调整缓存行为。

在某些Linux发行版中，saslauthd在启动时会启用认证凭据的缓存。在重启或缓存到期之前，saslauthd不会联系LDAP服务器以在认证缓存中重新认证用户。这允许saslauthd在缓存中成功认证用户，即使在LDAP服务器关闭或缓存用户的凭据被吊销的情况下也是如此。

要设置认证缓存的过期时间（以秒为单位），请参阅-t 选项 的 saslauthd。

使用 OpenLDAP 配置 LDAP 选项。

如果 saslauthd.conf 文件不存在，请创建它。通常，saslauthd.conf 文件位于 /etc 文件夹中。如果指定了不同的文件路径，请参阅 -O 选项 的 saslauthd。

要连接到 OpenLDAP 服务器，请使用以下配置选项更新 saslauthd.conf 文件

ldap_servers: <ldap uri>
ldap_search_base: <search base>
ldap_filter: <filter>

ldap_servers 指定用于身份验证的 LDAP 服务器 uri。通常，对于安装在本地机器上的 OpenLDAP，您可以指定值 ldap://localhost:389 或如果使用 TLS/SSL 的 LDAP，您可以指定值 ldaps://localhost:636。

ldap_search_base 指定与搜索相关的唯一名称。搜索包括基础或以下对象。

ldap_filter 指定搜索过滤器。

这些配置选项的值应与您测试的特定值相对应。例如，要过滤电子邮件，请指定 ldap_filter: (mail=%n)。

ldap_servers: ldaps://ad.example.net
ldap_search_base: ou=Users,dc=example,dc=com
ldap_filter: (uid=%u)

测试 saslauthd 配置。

使用 testsaslauthd 工具测试 saslauthd 配置。例如

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

• 0: OK "Success" 表示身份验证成功。

• 0: NO "authentication failed" 表示用户名、密码或配置错误。

根据主机操作系统中 saslauthd 目录的位置修改文件路径。

将用户添加到MongoDB以进行认证。

将用户添加到MongoDB中的$external数据库。要指定用户的权限，请将roles分配给用户。

要使用与$external认证用户（Kerberos、LDAP或x.509用户）的客户端会话和因果一致性保证，用户名不能超过10k字节。

例如，以下示例添加了一个只读访问records数据库的用户。

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

根据需要添加其他主体。有关创建和管理用户的信息，请参阅用户管理命令。

配置MongoDB服务器。

要将MongoDB服务器配置为使用 saslauthd 实例进行代理认证，在启动 mongod 时包含以下选项：

• --auth 命令行选项或 security.authorization 设置，

• authenticationMechanisms 参数设置为 PLAIN，以及

• saslauthdPath 参数设置为 saslauthd 实例的 Unix-domain Socket 路径。

  重要

  saslauthd Unix域套接字文件的父目录，指定于security.sasl.saslauthdSocketPath或--setParameter saslauthdPath，必须授予读取和执行（r-x）权限给以下任一：

  • 启动mongod或mongos的用户，或者

  • 该用户所属的组。

  如果不在saslauthd目录及其内容上指定权限，mongod或mongos无法通过saslauthd成功认证。

如果您使用 authorization 选项强制认证，则需要创建用户的权限。

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

或如果使用 YAML 格式配置文件，请在该文件中指定以下设置

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

或者，如果使用 较旧的配置文件格式：

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

或如果使用 YAML 格式配置文件，请在该文件中指定以下设置

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

或者，如果使用 较旧的配置文件格式：

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

根据您的配置需求包含附加选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员在不同的主机上运行，请指定 net.bindIp 设置。

在 mongosh 中进行用户身份验证。

您可以在连接期间从命令行进行身份验证，或者先连接然后使用 db.auth() 方法进行身份验证。

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

服务器以明文形式转发密码。通常，仅在受信任的通道（VPN、TLS/SSL、受信任的有线网络）上使用。见注意事项。