Okta LDAP Interface によるユーザー認証と承認の構成

Okta LDAP インターフェイスを設定します。

1. Okta LDAP インターフェイスの設定の詳細については、 Okta ドキュメント を参照してください。

2. <okta-instance-id>に注目してください。 これは、構成プロセス中に複数の場所で指定する必要があります。

   インスタンス名は、Okta アカウントにサインインするために使用する URL にあります。

   https://<okta-instance-id>.admin.okta.com

バインド ユーザーを作成します。

1. 新しい Okta ユーザーを作成する Atlas バインド ユーザーとして を使用する。バインド ユーザーは、Atlas データベースに接続するときにアカウントをクエリし、データベース ユーザーの認証情報を認証するために使用する Okta ユーザーです。

   重要

   バインド ユーザーには自分のユーザー アカウントは使用 しない でください。

2. 次のテンプレートを使用して、バインド ユーザーの完全な DN（Distinguished Name、識別名）を決定します。

   uid=<bind-user-email>,dc=<okta-instance-id>,dc=okta,dc=com

   たとえば、 <bind-user-email>がbind@example.comで、 <okta-instance-id>がmdb-exampleの場合、バインドユーザーの DN は次のようになります。

   uid=bind@example.com,ou=users,dc=mdb-example,dc=okta,dc=com

Okta でデータベースユーザーを作成する

ユーザがまだ存在しない場合は、データベースへのアクセスを許可するユーザーを Okta で作成します。

1. Okta people ページに移動します。

2. [Add Person] をクリックします。

3. ユーザーの詳細を入力します。 ユーザー名にはメールアドレスを使用します。

   注意

   プラス記号を含むメールアドレスの入力は避けてください（ + ）。 Atlas LDAP統合では、プラス記号を含むメールアドレスで問題が発生する可能性があります。

4. [Save] をクリックします。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

LDAP Authentication の横にあるボタンを On に切り替えます。

パネルに、すべての LDAP Configure Your LDAP Server サーバーのサーバー詳細とバインド認証情報を入力します。

複数のサーバーをカンマで区切って一覧表示できます。 異なるポートは使用できません。

DN マッピングにユーザーを追加する。

次の例のようなユーザーと DN のマッピングを追加して、クライアントが Atlas データベースに接続するときに完全な DN の代わりにメールアドレスを提供できるようにします。

[
   {
       "match": "(.+)",
       "substitution": "uid={0},ou=users,dc=<okta_instance_id>,dc=okta,dc=com"
   }
]

CA Root Certificate フィールドに、LDAP サーバー用の認証局（CA）から発行された証明書をカンマ区切りで入力します。

自己署名証明書を提供できます。

[Verify and Save] をクリックします。

Atlas が変更を配置するまで待ちます。 Atlas は、提供した構成の詳細を使用して、クラスターが LDAP サーバーに接続、認証、クエリを実行できることを確認します。

AtlasGoDatabase AccessAtlas で、プロジェクトの ページにGoします。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase Accessをクリックします。

   [データベース アクセス ]ページが表示されます。

Atlas に LDAP ユーザーを追加します。

Okta LDAPで管理されているユーザーを Atlas に追加します。

1. Add New Database User をクリックします。

2. [LDAP User] をクリックします。

3. 次のいずれかを実行します。

   1. User to DN Mappingを入力していない場合は、 LDAPユーザーの完全な DN を入力します。 このテンプレートに従います。

      uid=<user-name>,ou=users,dc=<okta-instance-id>,dc=okta,dc=com

      たとえば、 <user-name>がjane@example.comで、 <okta-instance-id>がmdb-exampleの場合、ユーザーの DN は次のようになります。

      uid=jane@example.com,ou=users,dc=mdb-example,dc=okta,dc=com

   2. User to DN Mappingを入力した場合は、マッピングに必要なユーザー名またはメールアドレスを入力します。

4. ユーザーに付与するデータベースアクセスレベルを選択します。

5. [Add User] をクリックします。

Okta データベース アクセス グループを作成します。

Atlas LDAP 認証では、 LDAP グループを使用して、ユーザーにデータベース アクションの実行が許可されているかどうかを判断します。

ユーザーに付与するアクセスのレベルごとに、個別の Okta グループを作成します。 たとえば、1 つのデータベースへの読み取りアクセス用に 1 つのグループを作成し、読み取りおよび書込みアクセス用のグループを作成するなどします。

1. Directoryをクリックし、次にGroupsをクリックして、Okta Groupsページに移動します。

2. [Add Group] をクリックします。

3. グループ名を入力します（例: db-read 。

4. [Add Group] をクリックします。

データベース アクセス グループに Okta ユーザーを追加します。

各ユーザーが必要とするアクセスのレベルに基づいて、ユーザーをグループに割り当てます。

1. ユーザーを追加するグループをクリックします。

2. [Manage People] をクリックします。

3. ユーザーをグループに追加し、[ Save ] をクリックします。

バインド ユーザーに特権を割り当てます。

バインド ユーザーには、特定の Okta グループに対してユーザーを認証し、LDAP 検索を実行するためのRead Only Administrator特権が必要です。 バインド ユーザーRead Only Administrator特権を割り当てるには、次の手順に従います。

1. Securityをクリックし、次にAdministratorsをクリックして、Okta Administratorsページに移動します。

2. [Add Administrator] をクリックします。

3. バインドユーザーを検索し、 Read Only Administratorロールを選択します。

4. [Add Administrator] をクリックします。

AtlasGoDatabase AccessAtlas で、プロジェクトの ページにGoします。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase Accessをクリックします。

   [データベース アクセス ]ページが表示されます。

データベース アクセス LDAP グループを Atlas に追加します。

作成した各 Okta データベース グループを Atlas に追加します。 追加したグループのノードには、グループに付与されたデータベースアクションを実行する権限が付与されます。

1. Add New Database User をクリックします。

1. [ LDAP Groupをクリックし、 User to DN Mappingを有効にした場合でも、データベースユーザーを含むグループの完全な DN を入力します。 このテンプレートに従います。

   cn=<group-name>,ou=groups,dc=<okta-instance-id>,dc=okta,dc=com

   たとえば、 <group-name>がdb-readで、 <okta-instance-id>がmdb-exampleの場合、バインドユーザーの DN は次のようになります。

   cn=db-read,ou=groups,dc=mdb-example,dc=okta,dc=com

1. このグループ内のユーザーに付与するデータベース アクセス レベルを選択します。

2. [Add User] をクリックします。

AtlasGoAdvancedAtlas で、プロジェクトの ページにGoします。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

LDAP Authorization の横にあるボタンを On に切り替えます。

Configure Your LDAP Server パネルで、LDAP サーバーのサーバー詳細とバインド認証情報が正しいことを確認します。

クエリ テンプレートを Query Template に入力します。

ユーザーがアクションを実行しようとすると、Atlas はLDAP クエリ テンプレートを実行して、認証されたユーザーが属する LDAP グループを取得します。 Atlas では、アクションの実行が許可されているグループが少なくとも 1 つクエリで返される場合、アクションは許可されます。 クエリがアクションを実行する権限を持つグループを返さない場合、Atlas ではアクションは許可されません。

Atlas はクエリを実行するときに、 {USER}プレースホルダー内の認証されたユーザー名を置き換えます。 クエリは、 Server Hostnameで指定されたホストに対して相対的です。

クエリの形式は RFC4515 に準拠する必要があります。

ユーザーがメンバーであるグループを識別する場合は、次のQuery Templateを使用できます。

ou=groups,dc=<okta-instance-id>,dc=okta,dc=com?dn?sub?(&(objectClass=groupofUniqueNames)(uniqueMember={USER}))

[Verify and Save] をクリックします。

Atlas が変更を配置するまで待ちます。 Atlas は、提供された構成の詳細を使用して、クラスターが LDAP サーバーに接続、認証、クエリを実行できることを確認します。