在Linux上使用Kerberos身份验证配置MongoDB

在mongod没有Kerberos的情况下启动。¶

对于最初添加的Kerberos用户，请在mongod 不支持Kerberos的情况下开始。

如果Kerberos用户已经在MongoDB中并且具有创建用户所需的 特权，则可以从mongodKerberos支持入手 。

包括适合您的部署的其他设置。

连接到mongod。¶

通过mongo外壳连接到mongod 实例。如果mongod已--auth启用，请确保您具有创建用户所需的特权。

将Kerberos主体添加到MongoDB。¶

将Kerberos主体（或） 添加到数据库中的MongoDB 。以全部大写形式指定Kerberos领域。该数据库允许查阅外部源（例如Kerberos）进行身份验证。要指定用户的特权，请为用户分配角色。<username>@<KERBEROS REALM><username>/<instance>@<KERBEROS REALM>$external$externalmongod

下面的示例添加application/reporting@EXAMPLE.NET对records数据库具有只读访问权限 的Kerberos主体 ：

use $external
db.createUser(
   {
     user: "application/reporting@EXAMPLE.NET",
     roles: [ { role: "read", db: "records" } ]
   }
)

根据需要添加其他主体。对于要使用Kerberos进行身份验证的每个用户，必须在MongoDB中创建一个相应的用户。有关创建和管理用户的更多信息，请参阅《 用户管理命令》。

从mongodKerberos支持开始。¶

要开始mongod支持Kerberos，请将环境变量设置为KRB5_KTNAMEkeytab文件的路径，并将mongod参数 authenticationMechanisms设置GSSAPI为以下格式：

env KRB5_KTNAME=<path to keytab file> \
mongod \
--setParameter authenticationMechanisms=GSSAPI \
<additional mongod options>

包括配置所需的其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员在不同的主机上运行，​​请指定 --bind_ip。有关更多信息，请参见 Localhost绑定兼容性更改。

例如，以下代码启动mongod 具有Kerberos支持的独立实例：

env KRB5_KTNAME=/opt/mongodb/mongod.keytab \
/opt/mongodb/bin/mongod --auth \
--setParameter authenticationMechanisms=GSSAPI \
--dbpath /opt/mongodb/data --bind_ip localhost,<hostname(s)|ip address(es)>

mongod您的密钥表文件的路径也可能不同。该密钥表文件 必须是唯一的所有者访问mongod 过程。

使用官方.deb或.rpm软件包，您可以 KRB5_KTNAME在环境设置文件中进行设置。有关详细信息，请参见 KRB5_KTNAME。

连接mongo外壳mongod并进行身份验证。¶

将mongoShell客户端连接为Kerberos主体 application/reporting@EXAMPLE.NET。在连接之前，您必须已经使用Kerberos的kinit程序来获取的凭据 application/reporting@EXAMPLE.NET。

您可以从命令行连接并进行身份验证。

mongo --host hostname.example.net --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username application/reporting@EXAMPLE.NET

如果要连接主机名与Kerberos名称匹配的系统，请确保为该选项指定完全限定域名（FQDN）--host ，而不是IP地址或非限定主机名。

如果要连接主机名与Kerberos名称不匹配的系统，请使用--gssapiHostName 来指定其响应的Kerberos FQDN。

或者，您可以首先连接mongo到 mongod，然后从mongo外壳使用该db.auth()方法在$external数据库中进行身份验证 。

use $external
db.auth( { mechanism: "GSSAPI", user: "application/reporting@EXAMPLE.NET" } )