使用自管理 SASL 和 LDAP 通过 ActiveDirectory 进行身份验证

指定机制。

在配置了saslauthd并使用/etc/sysconfig/saslauthd文件的系统上，例如Red Hat Enterprise Linux、Fedora、CentOS和Amazon Linux AMI，将机制MECH设置为ldap

MECH=ldap

在配置了saslauthd并使用/etc/default/saslauthd文件的系统上，例如Ubuntu，将MECHANISMS选项设置为ldap

MECHANISMS="ldap"

调整缓存行为。

在某些Linux发行版中，saslauthd默认启用认证凭证缓存。在重启或缓存过期之前，saslauthd不会联系LDAP服务器以重新验证其认证缓存中的用户。这允许saslauthd即使在LDAP服务器关闭或缓存用户的凭证被撤销的情况下，也能成功验证其缓存中的用户。

要设置认证缓存的过期时间（以秒为单位），请参阅-t选项的saslauthd。

使用ActiveDirectory配置LDAP选项。

如果saslauthd.conf文件不存在，则创建它。saslauthd.conf文件通常位于/etc文件夹中。如果指定了不同的文件路径，请参阅-O选项的saslauthd。

要与ActiveDirectory一起使用，请在saslauthd.conf文件中设置以下配置选项以启动saslauthd。

ldap_servers: <ldap uri>
ldap_use_sasl: yes
ldap_mech: DIGEST-MD5
ldap_auth_method: fastbind

对于<ldap uri>，指定ldap服务器的uri。例如，ldap_servers: ldaps://ad.example.net。

有关saslauthd配置的更多信息，请参阅http://www.openldap.org/doc/admin24/guide.html#Configuringsaslauthd。

测试 saslauthd 配置。

使用 testsaslauthd 工具测试 saslauthd 配置。例如

testsaslauthd -u testuser -p testpassword -f /var/run/saslauthd/mux

• 0: OK "Success" 表示身份验证成功。

• 0: NO "authentication failed" 表示用户名、密码或配置错误。

根据主机操作系统上 saslauthd 目录的位置修改文件路径。

将用户添加到MongoDB以进行身份验证。

将用户添加到MongoDB中的$external数据库。要指定用户的权限，将角色分配给用户。

要使用$external身份验证用户（Kerberos、LDAP或x.509用户）与客户端会话和因果一致性保证，用户名不能超过10k字节。

例如，以下示例将具有只读访问权限的用户添加到records数据库。

db.getSiblingDB("$external").createUser(
    {
      user : <username>,
      roles: [ { role: "read", db: "records" } ]
    }
)

根据需要添加其他主体。有关创建和管理用户的更多信息，请参阅用户管理命令。

配置MongoDB服务器。

要配置MongoDB服务器以使用saslauthd实例进行代理身份验证，在启动mongod时包含以下选项：

• --auth命令行选项或security.authorization设置，

• authenticationMechanisms参数设置为PLAIN，以及

• saslauthdPath参数设置为saslauthd实例的Unix域套接字路径。

  重要

  指定给 security.sasl.saslauthdSocketPath 或 --setParameter saslauthdPath 的 saslauthd Unix 域套接字文件的父目录必须授予对以下内容的读和执行 (r-x) 权限：

  • 启动 mongod 或 mongos 的用户，或

  • 该用户所属的组。

  如果不在 saslauthd 目录及其内容上指定权限，mongod 或 mongos 无法通过 saslauthd 成功进行身份验证。

如果您使用authorization选项强制执行身份验证，则需要创建用户的权限。

mongod --auth --setParameter saslauthdPath=/<some>/<path>/saslauthd/mux --setParameter authenticationMechanisms=PLAIN

或者，如果您使用的是 YAML 格式配置文件，请在该文件中指定以下设置

security:
   authorization: enabled
setParameter:
   saslauthdPath: /<some>/<path>/saslauthd/mux
   authenticationMechanisms: PLAIN

或者，如果您使用的是 旧配置文件格式：

auth=true
setParameter=saslauthdPath=/<some>/<path>/saslauthd/mux
setParameter=authenticationMechanisms=PLAIN

mongod --auth --setParameter saslauthdPath="" --setParameter authenticationMechanisms=PLAIN

或者，如果您使用的是 YAML 格式配置文件，请在该文件中指定以下设置

security:
   authorization: enabled
setParameter:
   saslauthdPath: ""
   authenticationMechanisms: PLAIN

或者，如果您使用的是 旧配置文件格式：

auth=true
setParameter=saslauthdPath=""
setParameter=authenticationMechanisms=PLAIN

根据您的配置需要包含附加选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员在不同的主机上运行，请指定 net.bindIp 设置。

在 mongosh 中进行用户认证。

您可以在连接时从命令行进行认证，或者先连接，然后使用 db.auth() 方法进行认证。

mongosh --host <host> --authenticationMechanism PLAIN --authenticationDatabase '$external' -u <user> -p

db.getSiblingDB("$external").auth(
   {
     mechanism: "PLAIN",
     user: <username>,
     pwd:  passwordPrompt() // or cleartext password
   }
)

服务器以明文形式转发密码。通常，仅在受信任的通道（VPN、TLS/SSL、受信任的有线网络）上使用。参见注意事项。