Esta página se ha traducido con Cloud Translation API.

Autenticarse y conectarse a una base de datos

Requisitos de conexión

Los clientes de Firestore con compatibilidad con MongoDB deben cumplir los siguientes requisitos:

Los conductores deben conectarse en modo load balanced. De esta forma, los controladores no intentarán comprender la topología exacta del servidor al que se conectan.
Los controladores deben conectarse con SSL habilitado.
Los controladores deben inhabilitar las escrituras reintentables. Firestore con compatibilidad con MongoDB no admite escrituras reintentables. No es necesario inhabilitar las lecturas reintentables, ya que se admiten.

Recuperar la cadena de conexión

La cadena de conexión de la base de datos depende del UID de la base de datos, de la ubicación de la base de datos y del mecanismo de autenticación. En las siguientes instrucciones se describe cómo se forma la cadena de conexión.

La cadena de conexión exacta depende del mecanismo de autenticación, pero la cadena de conexión base usa el siguiente formato:

mongodb://UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&tls=true&retryWrites=false

Puedes obtener la cadena de conexión de la base de datos de una de las siguientes formas:

Consola

En la Google Cloud consola, ve a la página Bases de datos.

Ir a Bases de datos
En la lista de bases de datos, haga clic en el ID de la base de datos pertinente.
En el panel Explorador se muestra la cadena de conexión de la base. Copia y usa esta cadena de conexión para conectarte a tu base de datos.

gcloud

Usa gcloud firestore database describe para obtener el UID y la información de ubicación:

gcloud firestore databases describe \
--database=DATABASE_ID \
--format='yaml(locationId, uid)'

Sustituye DATABASE_ID por el ID de la base de datos.

La salida incluye la ubicación y el UID de la base de datos. Usa esta información para crear la cadena de conexión base.

Usa la cadena de conexión base y uno de los siguientes métodos para autenticarte y conectarte a tu base de datos:

Nombre de usuario y contraseña (SCRAM)
Cuenta de servicio de Compute Engine
Biblioteca de autenticación de Google

Conectarse con nombre de usuario y contraseña (SCRAM)

Sigue estos pasos para crear una credencial de usuario para tu base de datos y conectarte a ella.

Antes de empezar

Para obtener los permisos que necesitas para crear un usuario, pide a tu administrador que te conceda el rol de gestión de identidades y accesos userCredsAdmin (roles/datastore.userCredsAdmin) en tu base de datos. Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

También puedes conseguir los permisos necesarios a través de roles personalizados u otros roles predefinidos.

Crear un usuario y conectarse a una base de datos

Para crear un usuario para tu base de datos de Firestore con compatibilidad con MongoDB, usa uno de los siguientes métodos:

Google Cloud consola

En la Google Cloud consola, ve a la página Bases de datos.

Ir a Bases de datos
Selecciona una base de datos de la lista.
En el menú de navegación, haz clic en Autenticación.
Haz clic en Add User (Añadir usuario).
Introduce un nombre de usuario.
Selecciona un rol para el nuevo usuario.
Haz clic en Añadir.
La contraseña del nuevo usuario se mostrará en el cuadro de diálogo de confirmación.

Precaución: La contraseña se muestra una vez y no se puede recuperar. Guarda esta contraseña para usarla en el futuro.

CLI de gcloud

Para autenticarte con SCRAM, primero debes crear una credencial de usuario. Usa el comando gcloud alpha firestore user-creds:
```
gcloud alpha firestore user-creds create USERNAME --database=DATABASE_ID
```
Sustituye lo siguiente:
- USERNAME: el nombre de usuario que se va a crear.
- DATABASE_ID: el ID de la base de datos.
La salida de este comando incluye la contraseña del usuario.

Precaución: La contraseña se muestra una vez y no se puede recuperar. Guarda esta contraseña para usarla en el futuro.

La salida es similar a la siguiente:
```
name: projects/PROJECT_NAME/databases/DATABASE_ID/userCreds/USERNAME
resourceIdentity:
  principal: principal://firestore.googleapis.com/projects/PROJECT_NUMBER/name/databases/DATABASE_ID/userCreds/USERNAME
securePassword: PASSWORD
```
De forma predeterminada, esta nueva credencial de usuario no tiene ningún permiso. Para obtener acceso de lectura y escritura a la base de datos, añade el rol roles/datastore.user a esta base de datos específica:
```
gcloud projects add-iam-policy-binding PROJECT_NAME \
--member='principal://firestore.googleapis.com/projects/PROJECT_NUMBER/name/databases/DATABASE_ID/userCreds/USERNAME' \
--role=roles/datastore.user \
--condition='expression=resource.name == "projects/PROJECT_NAME/databases/DATABASE_ID",title="CONDITION_TITLE"'
```
Sustituye lo siguiente:
- PROJECT_NAME: el nombre de tu proyecto.
- PROJECT_NUMBER: el número de proyecto.
- DATABASE_ID: el ID de la base de datos.
- USERNAME: el nombre de usuario que creaste anteriormente.
- CONDITION_TITLE: un título para esta condición. Esta condición restringe el acceso solo a esta base de datos.

Usa la siguiente cadena de conexión para conectarte a tu base de datos con SCRAM:

mongodb://USERNAME:PASSWORD@UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&authMechanism=SCRAM-SHA-256&tls=true&retryWrites=false

Haz los cambios siguientes:

USERNAME: el nombre de usuario.
PASSWORD: la contraseña que has generado para este usuario.
UID: el UID de la base de datos.
LOCATION: la ubicación de la base de datos.
DATABASE_ID: el ID de la base de datos.

Conectarse con la biblioteca de autenticación de Google

En el siguiente ejemplo de código se registra un controlador de retrollamada de OIDC que usa laGoogle Cloud biblioteca OAuth estándar.

Esta biblioteca te permite usar varios tipos de autenticación (credenciales predeterminadas de la aplicación y federación de identidades de cargas de trabajo).

Para ello, debes añadir la biblioteca de autenticación como dependencia:

// Maven
<dependency>
  <groupId>com.google.auth</groupId>
  <artifactId>google-auth-library-oauth2-http</artifactId>
  <version>1.19.0</version>
</dependency>

// Gradle
implementation 'com.google.auth:google-auth-library-oauth2-http:1.19.0'

En el siguiente código de ejemplo se muestra cómo conectarse:

val db = MongoClients.create(
    clientSettings(
      "DATABASE_UID",
      "LOCATION"
    ).build()
  ).getDatabase("DATABASE_ID")


/**
 * Creates a connection to a Firestore with MongoDB Compatibility database.
 * @param databaseUid The uid of the database to connect to as a string. For example: f116f93a-519c-208a-9a72-3ef6c9a1f081
 * @param locationId The location of the database to connect to, for example: nam5, us-central1, us-east4 etc...
 * @param environment Determines whether to try and fetch an authentication credential from the
 * Compute Engine VM metadata service or whether to call gcloud.
 */
private static MongoClientSettings.Builder clientSettings(
  String databaseUid: String
  String locationId:String
): MongoClientSettings.Builder {
  MongoCredential credential =
    MongoCredential.createOidcCredential(null)
      .withMechanismProperty(
        MongoCredential.OIDC_CALLBACK_KEY,
        new MongoCredential.OidcCallback() {
          @Override
          MongoCredential.OidcCallbackResult onRequest(
MongoCredential.OidcCallbackContext context) {
     // Customize this credential builder for additional credential types.
     GoogleCredentials credentials = GoogleCredentials.getApplicationDefault();
            return new MongoCredential.OidcCallbackResult(
         credentials.getAccessToken().getTokenValue(),
         Duration.between(Instant.now(),
credentials.getAccessToken().getExpirationTime().toInstant()));
          }
        },
      );
  return MongoClientSettings.builder()
    .hosts(listOf(ServerAddress(
        "$databaseUid.$locationId.firestore.goog", 443)))
    .credential(credential)
    .applyToClusterSettings(builder ->
         builder.mode(ClusterConnectionMode.LOAD_BALANCED))
    ).applyToSslSettings(ssl -> ssl.enabled(true)).retryWrites(false);
}

Haz los cambios siguientes:

DATABASE_UID: el nombre de tu proyecto.
LOCATION: la ubicación de tu base de datos.
DATABASE_ID el ID de la base de datos.

Conectarse desde una VM de Compute Engine

Puedes autenticarte y conectarte a tu base de datos mediante una cuenta de servicio de Compute Engine. Para ello, crea una política de gestión de identidades y accesos para el proyecto que contiene tu base de datos. Google Cloud

Antes de empezar

Configura una cuenta de servicio gestionada por el usuario para tu VM:

Para configurar una cuenta de servicio durante la creación de una máquina virtual, consulta Crear una máquina virtual que use una cuenta de servicio gestionada por el usuario.
Para configurar una cuenta de servicio en una máquina virtual que ya tienes, consulta Cambiar la cuenta de servicio vinculada.

Anota el correo de tu cuenta de servicio.

Configurar credenciales

Para conceder a la cuenta de servicio el rol roles/datastore.user para leer y escribir en Firestore, ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding PROJECT_NAME --member="SERVICE_ACCOUNT_EMAIL" --role=roles/datastore.user

Haz los cambios siguientes:

PROJECT_NAME: el nombre de tu proyecto.
SERVICE_ACCOUNT_EMAIL: la dirección de correo de la cuenta de servicio que has creado.

Construir la cadena de conexión

Usa el siguiente formato para crear la cadena de conexión:

mongodb://DATABASE_UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&tls=true&retryWrites=false&authMechanism=MONGODB-OIDC&authMechanismProperties=ENVIRONMENT:gcp,TOKEN_RESOURCE:FIRESTORE

Haz los cambios siguientes:

DATABASE_UID: el nombre de tu proyecto.
LOCATION: la ubicación de tu base de datos.
DATABASE_ID el ID de la base de datos.

Para obtener más información sobre cómo recuperar el UID y la ubicación, consulta Recuperar la cadena de conexión.

Conectarse con un token de acceso temporal

Puedes usar un token de acceso temporal Google Cloud para ejecutar herramientas de diagnóstico, como mongosh. Puedes usar gcloud auth print-access-token para autenticarte con un token de acceso de corta duración. Este token es válido durante una hora.

Por ejemplo, usa el siguiente comando para conectarte a tu base de datos con mongosh:

mongosh --tls \
      --username access_token --password $(gcloud auth print-access-token) \
      'mongodb://UID.LOCATION.firestore.goog:443/DATABASE_ID?loadBalanced=true&authMechanism=PLAIN&authSource=$external&retryWrites=false'

Haz los cambios siguientes:

DATABASE_UID: el UID de la base de datos
LOCATION: la ubicación de la base de datos
DATABASE_ID: un ID de base de datos