在Linux上使用Kerberos身份验证配置自管理MongoDB

不使用Kerberos启动 mongod。

对于初次添加Kerberos用户，启动 mongod 时不启用Kerberos支持。

如果MongoDB中已经存在Kerberos用户且具有创建用户的权限，您可以使用Kerberos支持启动 mongod。

根据您的部署情况，包括适当的额外设置。

连接到 mongod。

将 mongosh 连接到 mongod 实例。如果 --auth 已启用，确保您使用创建用户所需的权限进行连接。

将 Kerberos 主实体添加到 MongoDB。

将 Kerberos 主实体 <username>@<KERBEROS REALM> 或 <username>/<instance>@<KERBEROS REALM> 添加到 MongoDB 的 $external 数据库中。请使用全部大写字母指定 Kerberos 实体。在 $external 数据库中，允许 mongod 咨询外部来源（例如 Kerberos）进行身份验证。要指定用户的权限，请将 角色 分配给用户。

当与 $external 身份验证用户（Kerberos、LDAP 或 x.509 用户）一起使用 客户端会话和因果一致性保证 时，用户名不能超过 10k 字节。

以下示例将 Kerberos 主实体 application/reporting@EXAMPLE.NET 添加到对 records 数据库的只读访问中

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

根据需要添加其他主实体。对于您想要使用 Kerberos 进行身份验证的每个用户，您必须在 MongoDB 中创建相应的用户。有关创建和管理用户的信息，请参阅 用户管理命令。

以 Kerberos 支持启动 mongod。

要以 Kerberos 支持启动 mongod，请设置环境变量 KRB5_KTNAME 为密钥表文件的路径，并将 mongod 参数 authenticationMechanisms 设置为 GSSAPI，如下所示

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

根据需要，为您配置包括额外的选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 --bind_ip。

例如，以下命令启动了一个具有Kerberos支持的独立mongod实例

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

您的mongod路径以及您的密钥表文件可能不同。该密钥表文件必须仅对mongod进程的所有者可访问。

使用官方的.deb或.rpm软件包，您可以在环境设置文件中设置KRB5_KTNAME。有关详细信息，请参阅KRB5_KTNAME。

连接mongosh到mongod并进行认证。

以Kerberos主体application/reporting@EXAMPLE.NET连接mongosh客户端。在连接之前，您必须使用Kerberos的kinit程序为application/reporting@EXAMPLE.NET获取凭据。

您可以从命令行进行连接和认证。

mongosh --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

如果您正在连接到主机名与Kerberos名称匹配的系统，请确保您为--host选项指定完全限定的域名（FQDN），而不是IP地址或未限定的主机名。

如果您正在连接到主机名与Kerberos名称不匹配的系统，首先使用mongosh连接到mongod，然后从mongosh，使用db.auth()方法在$external数据库中进行认证。

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )