使用Kerberos身份验证和Active Directory授权配置自管理MongoDB

配置运行 MongoDB 的服务器 TLS/SSL。

要通过 TLS/SSL 连接到 AD（AD）服务器，mongod 或 mongos 需要访问 AD 服务器的证书颁发机构（CA）证书。

在 Linux 上，通过 ldap.conf 文件中的 TLS_CACERT 或 TLS_CACERTDIR 选项指定 AD 服务器的 CA 证书。

您的平台包管理器在安装MongoDB企业版的libldap依赖项时创建ldap.conf文件。有关配置文件或引用选项的完整文档，请参阅ldap.conf。

在Microsoft Windows上，使用平台的凭据管理工具加载AD服务器的证书颁发机构（CA）证书。确切的凭据管理工具取决于Windows版本。要使用该工具，请参阅其关于您Windows版本的文档。

如果mongod或mongos无法访问AD CA文件，它们无法与Active Directory服务器建立TLS/SSL连接。

可选地，将security.ldap.transportSecurity设置为none以禁用TLS/SSL。

(仅限Windows) 将服务主体名称分配给MongoDB Windows服务。

对于在Windows操作系统上运行的MongoDB服务器，您必须使用setspn.exe将服务主体名称（SPN）分配给运行MongoDB服务的账户。

setspn.exe -S <service>/<fully qualified domain name> <service account name>

setspn.exe -S mongodb/mongodbserver.example.com mongodb_dev@example.com

(仅限Linux) 为MongoDB服务器创建密钥表文件。

对于在Linux平台上运行的MongoDB服务器，您必须确保服务器有该服务器上运行的MongoDB实例的特定密钥表文件副本。

您必须授予运行MongoDB服务的Linux用户对密钥表文件的读取权限。请注意密钥表文件位置的完整路径。

连接到MongoDB服务器。

使用mongosh通过--host和--port选项连接到MongoDB服务器。

mongosh --host <hostname> --port <port>

如果您的MongoDB服务器目前强制执行身份验证，您必须以具有角色管理权限的用户身份（如userAdmin或userAdminAnyDatabase提供的角色）认证到admin数据库。包括适用于MongoDB服务器配置的身份验证机制的适当--authenticationMechanism。

mongosh --host <hostname> --port <port> --username <user> --password <pass> --authenticationDatabase="admin" --authenticationMechanism="<mechanism>"

创建用户管理角色。

要使用AD管理MongoDB用户，您至少需要在admin数据库上创建一个可以创建和管理角色的角色，如userAdmin或userAdminAnyDatabase提供的角色。

角色的名称必须与AD组的唯一名称完全匹配。该组必须至少有一个AD用户作为成员。

给定可用的 Active Directory组，以下操作

• 创建了一个名为 AD 组 CN=dba,CN=Users,DC=example,DC=com 的角色，并且

• 将其分配给 admin 数据库上的 userAdminAnyDatabase 角色。

var admin = db.getSiblingDB("admin")
admin.createRole(
   {
     role: "CN=dba,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [ "userAdminAnyDatabase" ]
   }
)

您还可以为用户应该拥有用户管理权限的每个数据库授予 userAdmin 角色。这些角色提供了创建和管理角色所需的所有权限。

创建一个MongoDB配置文件。

MongoDB 配置文件 是一个具有 .conf 扩展名的纯文本YAML文件。

• 如果您正在升级现有的MongoDB部署，请复制当前的配置文件并从该副本开始工作。

• (仅限Linux) 如果这是一个新的部署 并且 您使用平台包管理器安装MongoDB Enterprise，安装将包含 /etc/mongod.conf 默认配置文件。使用该默认配置文件或创建该文件的副本以进行工作。

• 如果不存在此类文件，请创建一个具有 .conf 扩展名的空文件，并从该新配置文件开始工作。

配置MongoDB以连接到Active Directory。

在MongoDB配置文件中，将 security.ldap.servers 设置为AD服务器的地址和端口。如果您在用于复制的AD基础设施中包含多个AD服务器，请将服务器的地址和端口作为逗号分隔的列表指定为 security.ldap.servers。

security:
  ldap:
    servers: "activedirectory.example.net"

MongoDB必须绑定到AD服务器以执行查询。默认情况下，MongoDB使用简单认证机制将自身绑定到AD服务器。

或者，您可以在配置文件中配置以下设置以使用 SASL 绑定到AD服务器

• 将 security.ldap.bind.method 设置为 sasl

• security.ldap.bind.saslMechanisms，指定AD服务器支持的逗号分隔的SASL机制字符串。

本教程使用默认的 simple LDAP认证机制。

[更多]

在MongoDB配置文件中，将security.authorization设置为enabled，并将setParameter authenticationMechanisms设置为GSSAPI。

要启用通过Kerberos的认证，请在配置文件中包含以下内容：

security:
  authorization: "enabled"
setParameter:
  authenticationMechanisms: "GSSAPI"

配置授权的LDAP查询模板。

在MongoDB配置文件中，将security.ldap.authz.queryTemplate设置为格式化的LDAP查询URL模板。

在模板中，您可以使用以下任一项：

• {USER}占位符将认证的用户名替换到LDAP查询URL中。

• {PROVIDED_USER}占位符将提供的用户名，即在认证或LDAP转换之前，替换到LDAP查询中。

设计查询模板以检索用户组。

security:
  ldap:
    authz:
      queryTemplate:
        "DC=example,DC=com??sub?(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={USER}))"

MongoDB 将每个返回的组 DN 映射到 admin 数据库中的一个角色。对于每个映射的组 DN，如果 admin 数据库中存在一个与 DN 名称完全匹配的角色，MongoDB 会授予用户该角色分配的权限和角色。

匹配规则 LDAP_MATCHING_RULE_IN_CHAIN 要求提供认证用户的完整 DN。由于 Kerberos 需要用用户的 userPrincipalName 进行认证，您必须使用 security.ldap.userToDNMapping 将传入的用户名转换为 DN。下一步将提供将传入用户名转换为支持 queryTemplate 的指南。

转换通过 Active Directory 进行身份验证的传入用户名。

在 MongoDB 配置文件中，将 userToDNMapping 设置为将认证用户提供的用户名转换为 AD DN，以支持 queryTemplate。

security:
  ldap:
    userToDNMapping:
      '[
         {
            match : "(.+)",
            ldapQuery: "DC=example,DC=com??sub?(userPrincipalName={0})"
         }
    ]'

您必须修改给定的示例配置以匹配您的部署。例如，ldapQuery 基 DN 必须与包含您的用户实体的基本 DN 匹配。可能还需要进行其他修改以支持您的 AD 部署。

DC=example,DC=com??sub?(userPrincipalName=alice@ENGINEERING.EXAMPLE.COM)

配置查询凭据。

MongoDB 需要凭证以在 AD 服务器上执行查询。

在配置文件中配置以下设置

• security.ldap.bind.queryUser，指定 mongod 或 mongos 用于在 AD 服务器上执行查询的 Kerberos 用户。

• security.ldap.bind.queryPassword，指定用于特定 queryUser 的密码。

security:
  ldap:
    bind:
      queryUser: "mongodbadmin@dba.example.com"
      queryPassword: "secret123"

在 Windows MongoDB 服务器上，您可以将 security.ldap.bind.useOSDefaults 设置为 true 以使用 OS 用户的凭证，而不是 queryUser 和 queryPassword。

queryUser 必须有权代表 MongoDB 执行所有 LDAP 查询。

可选：添加额外的配置设置。

根据您的配置需求添加额外的选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员在不同的主机上运行，请指定 net.bindIp 设置。

以 Kerberos 认证和 Active Directory 授权启动 MongoDB 服务器。

使用 --config 选项启动 MongoDB 服务器，指定此过程中创建的配置文件的路径。如果 MongoDB 服务器目前正在运行，请进行适当的准备以停止服务器。

Linux MongoDB 服务器

在 Linux 上，您必须指定 KRB5_KTNAME 环境变量，指定 MongoDB 服务器密钥表文件的路径。

env KRB5_KTNAME <path-to-keytab> mongod --config <path-to-config-file>

Microsoft Windows MongoDB服务器

在Windows上，您必须以配置步骤中预先配置的服务主体账户启动MongoDB服务器

mongod.exe --config <path-to-config-file>

连接到MongoDB服务器。

连接到MongoDB服务器，以与在admin数据库上对应MongoDB角色的用户直接或传递组成员身份进行身份验证，使用具有userAdmin、userAdminAnyDatabase或具有等效权限的自定义角色的用户。

使用mongosh对MongoDB服务器进行身份验证，设置以下选项

• --host使用MongoDB服务器的主机名

• --port使用MongoDB服务器的端口号

• --username为用户的userPrincipalName

• --password为用户的密码（或省略以使mongosh提示输入密码）

• --authenticationMechanism设置为"GSSAPI"

• --authenticationDatabase设置为"$external"

mongosh --username sam@DBA.EXAMPLE.COM --password  --authenticationMechanisms="GSSAPI" --authenticationDatabase "$external" --host <hostname> --port <port>

Windows MongoDB部署必须使用mongo.exe而不是mongosh。

给定配置的Active Directory用户，用户成功认证并获得了相应的权限。

为映射返回的AD组创建角色。

对于您希望在MongoDB授权中使用的AD服务器上的每个组，您必须在MongoDB服务器的admin数据库上创建一个匹配的角色。

db.getSiblingDB("admin").createRole(
   {
     role: "CN=PrimaryApplication,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "readWrite", db: "PrimaryApplication" }
     ]
   }
)

可选：将现有用户从$external过渡到Active Directory服务器。

如果升级已配置在$external数据库上的用户，您必须满足以下要求，以确保在配置MongoDB进行Kerberos认证和AD授权后用户能够访问

• 用户在AD服务器上有一个相应的用户对象。

• 用户是AD服务器上适当组的成员。

• MongoDB包含名为用户AD组的admin数据库上的角色，以便授权用户保留其权限。

{
  user : "joe@ANALYTICS.EXAMPLE.COM",
  roles: [
    { role : "read", db : "web_analytics" },
    { role : "read", db : "PrimaryApplication" }
  ]
}

db.getSiblingDB("admin").createRole(
   {
     role: "CN=marketing,CN=Users,DC=example,DC=com",
     privileges: [],
     roles: [
       { role: "read", db: "web_analytics" }
       { role: "read", db: "PrimaryApplication" }
     ]
   }
)

如果您希望继续允许非 $external 数据库上的用户访问 MongoDB，您必须在 setParameter authenticationMechanisms 配置选项中包含 SCRAM 认证机制（例如 SCRAM-SHA-1 和/或 SCRAM-SHA-256）。

setParameter:
  authenticationMechanisms: "GSSAPI,SCRAM-SHA-1,SCRAM-SHA-256"

或者，按照上述步骤将非 $external 用户过渡到 AD。