Cómo autenticarse y conectarse a una base de datos

Requisitos de conexión

Se requiere lo siguiente para los clientes de Firestore con compatibilidad con MongoDB:

• Los controladores deben conectarse en modo load balanced. Esto evita que los controladores intenten comprender la topología de servidor exacta a la que se conectan.
• Los controladores deben conectarse con SSL habilitado.
• Los controladores deben inhabilitar las operaciones de escritura que se pueden reintentar. Actualmente, Firestore compatible con MongoDB no admite operaciones de escritura que se puedan reintentar.

Cómo recuperar la cadena de conexión

La cadena de conexión de la base de datos depende del UID de la base de datos, la ubicación de la base de datos y el mecanismo de autenticación. En las siguientes instrucciones, se describe cómo se forma la cadena de conexión.

La cadena de conexión exacta depende del mecanismo de autenticación, pero la cadena de conexión base usa el siguiente formato:

mongodb://UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&tls=true&retryWrites=false

Puedes obtener la cadena de conexión base de una de las siguientes maneras:

gcloud firestore databases describe \
--database=DATABASE_ID \
--format='yaml(locationId, uid)'

Usa la cadena de conexión base y uno de los siguientes métodos para autenticar y conectarte a tu base de datos:

• Nombre de usuario y contraseña (SCRAM)
• Cuenta de servicio de Compute Engine
• Biblioteca de autenticación de Google

Conéctate con un nombre de usuario y una contraseña (SCRAM)

Sigue estos pasos para crear una credencial de usuario para tu base de datos y conectarte a ella.

Antes de comenzar

Para obtener los permisos que necesitas para crear un usuario, pídele a tu administrador que te otorgue el rol de IAM userCredsAdmin (roles/datastore.userCredsAdmin) en tu base de datos. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Crea un usuario y conéctate a una base de datos

Para crear un usuario para tu base de datos de Firestore con compatibilidad con MongoDB, usa uno de los siguientes métodos:

Usa la siguiente cadena de conexión para conectarte a tu base de datos con SCRAM:

mongodb://USERNAME:PASSWORD@UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&authMechanism=SCRAM-SHA-256&tls=true&retryWrites=false

Reemplaza lo siguiente:

• USERNAME: el nombre de usuario
• PASSWORD: La contraseña que generaste para este usuario.
• UID: El UID de la base de datos.
• LOCATION: Es la ubicación de la base de datos.
• DATABASE_ID: El ID de la base de datos.

Cómo conectarse con la biblioteca de Google Auth

En la siguiente muestra de código, se registra un controlador de devolución de llamada de OIDC que usa laGoogle Cloud biblioteca OAuth estándar.

Esta biblioteca te permite usar varios tipos de autenticación diferentes (Credenciales predeterminadas de la aplicación, federación de Workload Identity).

Para ello, debes agregar la biblioteca de autenticación como una dependencia:

// Maven
<dependency>
  <groupId>com.google.auth</groupId>
  <artifactId>google-auth-library-oauth2-http</artifactId>
  <version>1.19.0</version>
</dependency>

// Gradle
implementation 'com.google.auth:google-auth-library-oauth2-http:1.19.0'

En la siguiente muestra de código, se muestra cómo conectarse:

val db = MongoClients.create(
    connectIgnite(
      "DATABASE_UID",
      "LOCATION"
    ).build()
  ).getDatabase("DATABASE_ID")


/**
 * Creates a connection to a Firestore with MongoDB Compatibility database.
 * @param databaseUid The uid of the database to connect to as a string. For example: f116f93a-519c-208a-9a72-3ef6c9a1f081
 * @param locationId The location of the database to connect to, for example: nam5, us-central1, us-east4 etc...
 * @param environment Whether to try and fetch an auth credential from the GCE VM metadata service or whether to call gcloud.
 */
private static MongoClientSettings.Builder connectIgnite(
  String databaseUid: String
  String locationId:String
): MongoClientSettings.Builder {
  MongoCredential credential =
    MongoCredential.createOidcCredential(null)
      .withMechanismProperty(
        MongoCredential.OIDC_CALLBACK_KEY,
        new MongoCredential.OidcCallback() {
          @Override
          MongoCredential.OidcCallbackResult onRequest(
MongoCredential.OidcCallbackContext context) {
     // Customize this credential builder for additional credential types.
     GoogleCredentials credentials = GoogleCredentials.getApplicationDefault();
            return new MongoCredential.OidcCallbackResult(
         credentials.getAccessToken().getTokenValue(),
         Duration.between(Instant.now(),
credentials.getAccessToken().getExpirationTime().toInstant()));
          }
        },
      );
  return MongoClientSettings.builder()
    .hosts(listOf(ServerAddress(
        "$databaseUid.$locationId.firestore.goog", 443)))
    .credential(credential)
    .applyToClusterSettings(builder ->
         builder.mode(ClusterConnectionMode.LOAD_BALANCED))
    ).applyToSslSettings(ssl -> ssl.enabled(true));
}

Reemplaza lo siguiente:

• DATABASE_UID: nombre del proyecto.
• LOCATION: Es la ubicación de tu base de datos.
• DATABASE_ID el ID de la base de datos.

Cómo conectarse desde una VM de Compute Engine

Puedes autenticarte y conectarte a tu base de datos con una cuenta de servicio de Compute Engine. Para ello, crea una política de IAM para el Google Cloud proyecto que contiene tu base de datos.

Antes de comenzar

Configura una cuenta de servicio administrada por el usuario para tu VM:

• Para configurar la cuenta de servicio durante la creación de la VM, consulta Crea una VM que use una cuenta de servicio administrada por el usuario.
• Para configurar una cuenta de servicio en una VM existente, consulta Cambia la cuenta de servicio conectada.

Toma nota del correo electrónico de tu cuenta de servicio.

Configura las credenciales

Para otorgar a la cuenta de servicio el rol roles/datastore.user de lectura y escritura en Firestore, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding PROJECT_NAME --member="SERVICE_ACCOUNT_EMAIL" --role=roles/datastore.user

Reemplaza lo siguiente:

• PROJECT_NAME: nombre del proyecto.
• SERVICE_ACCOUNT_EMAIL: La dirección de correo electrónico de la cuenta de servicio que creaste.

Cómo crear la cadena de conexión

Usa el siguiente formato para crear la cadena de conexión:

mongodb://DATABASE_UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&tls=true&retryWrites=false&authMechanism=MONGODB-OIDC&authMechanismProperties=ENVIRONMENT:gcp,TOKEN_RESOURCE:FIRESTORE

Reemplaza lo siguiente:

• DATABASE_UID: nombre del proyecto.
• LOCATION: Es la ubicación de tu base de datos.
• DATABASE_ID el ID de la base de datos.

Para obtener más información sobre cómo recuperar el UID y la ubicación, consulta Cómo recuperar la cadena de conexión.

Cómo conectarse con un token de acceso temporal

Puedes usar un token de acceso Google Cloud temporal para ejecutar herramientas de diagnóstico como mongosh. Puedes usar gcloud auth print-access-token para autenticarte con un token de acceso a corto plazo. Este token es válido durante una hora.

Por ejemplo, usa el siguiente comando para conectarte a tu base de datos con mongosh:

mongosh --tls \
      --username access_token --password $(gcloud auth print-access-token) \
      'mongodb://UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&authMechanism=PLAIN&authSource=$external&retryWrites=false'

Reemplaza lo siguiente:

• DATABASE_UID: El UID de la base de datos
• LOCATION: La ubicación de la base de datos
• DATABASE_ID: Un ID de base de datos