AWS IAM 身份验证

MongoDB\Client Credentials

首先，驾驶员检查您是否将Amazon Web Services凭证传递给 MongoDB\Client 构造函数，作为连接 URI 的一部分或 $uriOptions大量参数。 要将您的凭证传递给MongoDB\Client ，请设立以下连接选项：

• username：要进行身份验证的Amazon Web Services IAM 访问密钥ID 。 在将其包含在连接 URI 中之前，对该值进行百分比编码。

• password： Amazon Web Services IAM 秘密访问密钥。 在将其包含在连接 URI 中之前，对该值进行百分比编码。

• authMechanism：设置为'MONGODB-AWS' 。

您可以通过两种方式设立这些选项：将选项大量传递给 MongoDB\Client 构造函数，或通过连接 URI 中的参数。选择 MongoDB\Client 或 Connection URI标签页以查看相应的代码：

$uriOptions = [
    'username' => '<AWS IAM access key ID>',
    'password' => '<AWS IAM secret access key>',
    'authMechanism' => 'MONGODB-AWS',
];
$client = new MongoDB\Client(
    'mongodb://<hostname>:<port>',
    $uriOptions,
);

$uri = 'mongodb://<AWS IAM access key ID>:<AWS IAM secret access key>@<hostname>:<port>/?authMechanism=MONGODB-AWS';
$client = new MongoDB\Client($uri);

环境变量

如果在构造 MongoDB\Client对象时未提供用户名和密码，驾驶员会尝试从以下环境变量中检索Amazon Web Services凭证：

• AWS_ACCESS_KEY_ID

• AWS_SECRET_ACCESS_KEY

• AWS_SESSION_TOKEN

要使用这些环境变量对应用程序进行身份验证，请先设立它们设置为身份验证所需的Amazon Web Services IAM 值。 您可以在shell中运行export 命令或将变量添加到 .env文件，如以下代码示例：

export AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
export AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
export AWS_SESSION_TOKEN=<AWS session token>

AWS_ACCESS_KEY_ID=<AWS IAM access key ID>
AWS_SECRET_ACCESS_KEY=<AWS IAM secret access key>
AWS_SESSION_TOKEN=<AWS session token>

设立这些环境变量后，设立authMechanism连接选项设置为'MONGODB-AWS' 。

$client = new MongoDB\Client(
    'mongodb://<hostname>:<port>',
    ['authMechanism' => 'MONGODB-AWS'],
);

$uri = 'mongodb://<hostname>:<port>/?authMechanism=MONGODB-AWS';
$client = new MongoDB\Client($uri);

AssumeRoleWithWebIdentity 请求

如果您的应用程序通过 OpenID Connect (OIDC) 身份提供商对 EKS集群的用户进行身份验证，则驾驶员可以发出 AssumeRoleWithWebIdentity请求，用 OIDC 令牌交换应用程序的临时Amazon Web Services凭证。

要使用 AssumeRoleWithWebIdentity请求返回的临时Amazon Web Services IAM凭证进行身份验证，请确保您的环境中存在Amazon Web Services配置文件并且已正确配置。 要学习；了解如何创建和配置Amazon Web Services配置文件，请参阅配置 Amazon Web Services文档中的配置。

为AssumeRoleWithWebIdentity请求配置环境后，设立authMechanism连接选项设置为'MONGODB-AWS' 。 要查看设置authMechanism选项的示例，请参阅本页上的authMechanism示例。

ECS Metadata

如果您的应用程序在弹性容器服务 (ECS)容器运行，则驾驶员可以自动从 ECS 端点检索临时Amazon Web Services凭证。 为此，请在名为AWS_CONTAINER_CREDENTIALS_RELATIVE_URI的环境变量中指定 ECS 端点的 URI。 您可以通过运行export shell命令或将其添加到 .env文件来设立此变量，如以下示例所示：

export AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=<URI of the ECS endpoint>

AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=<URI of the ECS endpoint>

设立环境变量后，设立authMechanism连接选项设置为'MONGODB-AWS' 。 要查看设置authMechanism选项的示例，请参阅本页上的authMechanism示例。

EC 2实例元数据

驾驶员可以自动从Amazon Web Services AmazonElastic Cloud Compute (EC)实例检索临时2 凭证。要使用 EC 2实例中的临时凭证，设立authMechanism连接选项设置为'MONGODB-AWS' 。 要查看设置authMechanism选项的示例，请参阅本页上的authMechanism示例。