Kerberos 用の MongoDB Agent の構成

最小有効期間が 4 時間のチケットを発行するための KDC の構成

Kerberos チケットは期間限定でユーザーを認証できます。4 時間以上有効なチケットを発行するには、 Kerberos キーディストリビューションセンター（KDC） を設定する必要があります。MongoDB Agent はチケットを定期的に更新します。KDC サービスは、ユーザーとホストにセッション チケットと一時的なセッションキーを提供します。

配置用認証メカニズムとして Kerberos を追加

MongoDB Agent は、MongoDB ユーザーと同様に、配置内の MongoDB データベースを操作します。 そのため、認証をサポートするように MongoDB 配置と MongoDB Agent を構成する必要があります。

が配置を追加するときに配置の認証メカニズムを指定することも、既存の配置の設定を編集することもできます。 少なくとも、MongoDB Agent が使用する認証メカニズムを配置で有効にする必要があります。 MongoDB Agent は、サポートされている任意の認証メカニズムを使用できます。

このチュートリアルでは、次のことを確認する必要があります。

• 配置が Kerberos 認証をサポートしている

• MongoDB Agent は Kerberos 認証を使用します。

Kerberos 認証を有効にする方法については、「 Cloud Manager プロジェクトで Kerberos 認証を有効にする 」を参照してください。

Kerberos を使用するように MongoDB Agent ホストを構成する

モニタリングまたはバックアップを実行中のホストに、Kerberos 関連のファイルを 2 つインストールする必要があります。

• krb5.conf を作成または構成するKerberos構成ファイル。

  プラットフォーム	デフォルト パス	ノート
  Linux	/etc/krb5.conf
  Windows	%WINDIR%\krb5.ini	これは、非アクティブ ディレクトリ ベースの Kerberos 実装のデフォルト パスです。 Kerberos 構成ファイルが保存されている場所を確認するには、Windows のバージョンの Kerberos 実装のドキュメントを参照してください。

• Linux システムの場合: kinit バイナリが /usr/bin/kinitにあることを確認します。 kinit は、Kerberos を使用してエージェントを認証する Kerberos チケット承認チケットを取得または更新します。

MongoDB Agent の Kerberos ユーザー プリンシパルを作成する

MongoDB Agent UPN のユーザーの作成とロールの割り当て

db.getSiblingDB("$external").createUser(
  {
    user : "<Kerberos Principal>",
    roles : [
      { role : "clusterAdmin", db : "admin" },
      { role : "readWriteAnyDatabase", db : "admin" },
      { role : "userAdminAnyDatabase", db : "admin" },
      { role : "dbAdminAnyDatabase", db : "admin" },
      { role : "backup", db : "admin" },
      { role : "restore", db : "admin" }
    ]
  }
)