身份验证机制

连接URI

首先，C++驱动程序会检查您是否将AWS凭证传递给MongoClient构造函数，作为连接URI的一部分。要将凭证传递到连接URI中，设置以下连接选项

• username：用于认证的AWS IAM访问密钥ID。

• password：AWS IAM秘密访问密钥。

• authMechanism：设置为"MONGODB-AWS"。

您可以在创建mongocxx::client对象时设置这些选项，如下例所示

auto uri = mongocxx::uri("mongodb://<AWS IAM access key ID>:<AWS IAM secret access key>@<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

您还可以通过传递到authMechanismProperties参数中包含AWS会话令牌。

auto uri = mongocxx::uri("mongodb://<AWS IAM access key ID>:<AWS IAM secret access key>@<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWSS&authMechanismProperties=AWS_SESSION_TOKEN:<token>");
auto client = mongocxx::client(uri);

环境变量

如果在构建 MongoClient 对象时未提供用户名和密码，C++ 驱动程序将尝试从以下环境变量中检索 AWS 凭据

• AWS_ACCESS_KEY_ID

• AWS_SECRET_ACCESS_KEY

• AWS_SESSION_TOKEN（可选）

要使用这些环境变量来验证您的应用程序，首先将它们设置为用于验证的 AWS IAM 值，如下所示代码示例

export AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
export AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
export AWS_SESSION_TOKEN=<AWS session token>

设置这些环境变量后，将您的连接 URI 中的 authMechanism 参数设置为 "MONGODB-AWS"，如下例所示

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

AssumeRoleWithWebIdentity 请求

如果您的应用程序从 OpenID Connect (OIDC) 身份提供者验证您的 EKS 集群的用户，C++ 驱动程序可以发出 AssumeRoleWithWebIdentity 请求，以交换 OIDC 令牌以获取您的应用程序的临时 AWS 凭据。

为了使用由 AssumeRoleWithWebIdentity 请求返回的临时 AWS IAM 凭证进行身份验证，请确保您的环境中存在 AWS 配置文件，并使用 AWS_WEB_IDENTITY_TOKEN_FILE 和 AWS_ROLE_ARN 环境变量进行配置。有关创建和配置 AWS 配置文件的说明，请参阅 AWS 文档中的配置。

在配置您的环境以使用 AssumeRoleWithWebIdentity 请求后，将您的连接 URI 中的 authMechanism 参数设置为 "MONGODB-AWS"，如下例所示

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

有关使用 AssumeRoleWithWebIdentity 请求对您的应用程序进行身份验证的更多信息，请参阅以下 AWS 文档

• AssumeRoleWithWebIdentity

• 从 OpenID Connect 身份提供商对您的集群用户进行身份验证

ECS 元数据

如果您的应用程序运行在 Elastic Container Service (ECS) 容器中，C++ 驱动程序可以自动从 ECS 端点检索临时 AWS 凭证。为此，请指定名为 AWS_CONTAINER_CREDENTIALS_RELATIVE_URI 的环境变量中的 ECS 端点 URI，如下例所示

export AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=<URI of the ECS endpoint>

设置环境变量后，将您的连接 URI 中的 authMechanism 参数设置为 "MONGODB-AWS"，如下例所示

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);

EC2实例元数据

C++驱动程序可以自动从Amazon弹性云计算（EC2）实例中检索临时AWS凭证。要在EC2实例内部使用临时凭证，请将您的连接URI中的authMechanism参数设置为"MONGODB-AWS"，如下例所示

auto uri = mongocxx::uri("mongodb://<hostname>:<port>/?"
                         "authMechanism=MONGODB-AWS");
auto client = mongocxx::client(uri);