Okta LDAP Interface によるユーザー認証と承認の構成

Okta LDAP インターフェイスを設定します。

1. Okta LDAP インターフェイスの設定の詳細については、 Okta ドキュメント を参照してください。

2. <okta-instance-id>に注目してください。 これは、構成プロセス中に複数の場所で指定する必要があります。

   インスタンス名は、Okta アカウントにサインインするために使用する URL にあります。

   https://<okta-instance-id>.admin.okta.com

バインド ユーザーを作成します。

1. 新しい Okta ユーザーを作成する Atlas バインド ユーザーとして を使用する。バインド ユーザーは、Atlas データベースに接続するときにアカウントをクエリし、データベース ユーザーの認証情報を認証するために使用する Okta ユーザーです。

   重要

   バインド ユーザーには自分のユーザー アカウントは使用 しない でください。

2. 次のテンプレートを使用して、バインド ユーザーの完全な DN（Distinguished Name、識別名）を決定します。

   uid=<bind-user-email>,dc=<okta-instance-id>,dc=okta,dc=com

   たとえば、 <bind-user-email>がbind@example.comで、 <okta-instance-id>がmdb-exampleの場合、バインドユーザーの DN は次のようになります。

   uid=bind@example.com,ou=users,dc=mdb-example,dc=okta,dc=com

Okta でデータベースユーザーを作成する

ユーザがまだ存在しない場合は、データベースへのアクセスを許可するユーザーを Okta で作成します。

1. Okta people ページに移動します。

2. [Add Person] をクリックします。

3. ユーザーの詳細を入力します。 ユーザー名にはメールアドレスを使用します。

   注意

   プラス記号を含むメールアドレスの入力は避けてください（ + ）。 Atlas LDAP統合では、プラス記号を含むメールアドレスで問題が発生する可能性があります。

4. [Save] をクリックします。

AtlasAdvanced で、プロジェクトの ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

の横にあるボタンをLDAP Authentication Onに切り替えます。

[ ] パネルに、すべてのConfigure Your LDAP Server LDAP サーバーのサーバー詳細とバインド認証情報を入力します。

複数のサーバーをカンマで区切って一覧表示できます。 異なるポートは使用できません。

DN マッピングにユーザーを追加する。

次の例のようなユーザーと DN のマッピングを追加して、クライアントが Atlas データベースに接続するときに完全な DN の代わりにメールアドレスを提供できるようにします。

[
   {
       "match": "(.+)",
       "substitution": "uid={0},ou=users,dc=<okta_instance_id>,dc=okta,dc=com"
   }
]

LDAP サーバー用に証明機関（CA）から発行された証明書をカンマで区切って入力し、CA Root Certificate フィールドに入力します。

自己署名証明書を提供できます。

Verify and Save[ をクリックします。

Atlas が変更を配置するまで待ちます。 Atlas は、提供した構成の詳細を使用して、クラスターが LDAP サーバーに接続、認証、クエリを実行できることを確認します。

AtlasDatabase Access で、プロジェクトの ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase Accessをクリックします。

   [データベース アクセス ]ページが表示されます。

Atlas に LDAP ユーザーを追加します。

Okta LDAPで管理されているユーザーを Atlas に追加します。

1. Add New Database User をクリックします。

2. [LDAP User] をクリックします。

3. 次のいずれかを実行します。

   1. User to DN Mappingを入力していない場合は、 LDAPユーザーの完全な DN を入力します。 このテンプレートに従います。

      uid=<user-name>,ou=users,dc=<okta-instance-id>,dc=okta,dc=com

      たとえば、 <user-name>がjane@example.comで、 <okta-instance-id>がmdb-exampleの場合、ユーザーの DN は次のようになります。

      uid=jane@example.com,ou=users,dc=mdb-example,dc=okta,dc=com

   2. User to DN Mappingを入力した場合は、マッピングに必要なユーザー名またはメールアドレスを入力します。

4. ユーザーに付与するデータベースアクセスレベルを選択します。

5. [Add User] をクリックします。

Okta データベース アクセス グループを作成します。

Atlas LDAP 認証では、 LDAP グループを使用して、ユーザーにデータベース アクションの実行が許可されているかどうかを判断します。

ユーザーに付与するアクセスのレベルごとに、個別の Okta グループを作成します。 たとえば、1 つのデータベースへの読み取りアクセス用に 1 つのグループを作成し、読み取りおよび書込みアクセス用のグループを作成するなどします。

1. Directoryをクリックし、次にGroupsをクリックして、Okta Groupsページに移動します。

2. [Add Group] をクリックします。

3. グループ名を入力します（例: db-read 。

4. [Add Group] をクリックします。

データベース アクセス グループに Okta ユーザーを追加します。

各ユーザーが必要とするアクセスのレベルに基づいて、ユーザーをグループに割り当てます。

1. ユーザーを追加するグループをクリックします。

2. [Manage People] をクリックします。

3. ユーザーをグループに追加し、[ Save ] をクリックします。

バインド ユーザーに特権を割り当てます。

バインド ユーザーには、特定の Okta グループに対してユーザーを認証し、LDAP 検索を実行するためのRead Only Administrator特権が必要です。 バインド ユーザーRead Only Administrator特権を割り当てるには、次の手順に従います。

1. Securityをクリックし、次にAdministratorsをクリックして、Okta Administratorsページに移動します。

2. [Add Administrator] をクリックします。

3. バインドユーザーを検索し、 Read Only Administratorロールを選択します。

4. [Add Administrator] をクリックします。

AtlasDatabase Access で、プロジェクトの ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のDatabase Accessをクリックします。

   [データベース アクセス ]ページが表示されます。

データベースアクセス LDAP グループを Atlas に追加します。

作成した各 Okta データベース グループを Atlas に追加します。 追加したグループのノードには、グループに付与されたデータベースアクションを実行する権限が付与されます。

1. Add New Database User をクリックします。

1. [ LDAP Groupをクリックし、 User to DN Mappingを有効にした場合でも、データベースユーザーを含むグループの完全な DN を入力します。 このテンプレートに従います。

   cn=<group-name>,ou=groups,dc=<okta-instance-id>,dc=okta,dc=com

   たとえば、 <group-name>がdb-readで、 <okta-instance-id>がmdb-exampleの場合、バインドユーザーの DN は次のようになります。

   cn=db-read,ou=groups,dc=mdb-example,dc=okta,dc=com

1. このグループ内のユーザーに付与するデータベース アクセス レベルを選択します。

2. [Add User] をクリックします。

AtlasAdvanced で、プロジェクトの ページに移動します。

1. まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。

2. まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。

3. サイドバーで、 Security見出しの下のAdvancedをクリックします。

   詳細ページが表示されます。

の横にあるボタンをLDAP Authorization Onに切り替えます。

パネルで、LDAPサーバーのサーバー詳細とバインド認証情報が正しいことを確認します。Configure Your LDAP Server

にクエリQuery Template テンプレートを入力します。

ユーザーがアクションを実行しようとすると、Atlas はLDAP クエリ テンプレートを実行して、認証されたユーザーが属する LDAP グループを取得します。 Atlas では、アクションの実行が許可されているグループが少なくとも 1 つクエリで返される場合、アクションは許可されます。 クエリがアクションを実行する権限を持つグループを返さない場合、Atlas ではアクションは許可されません。

Atlas はクエリを実行するときに、 {USER}プレースホルダー内の認証されたユーザー名を置き換えます。 クエリは、 Server Hostnameで指定されたホストに対して相対的です。

クエリの形式は RFC4515 に準拠する必要があります。

ユーザーがメンバーであるグループを識別する場合は、次のQuery Templateを使用できます。

ou=groups,dc=<okta-instance-id>,dc=okta,dc=com?dn?sub?(&(objectClass=groupofUniqueNames)(uniqueMember={USER}))

Verify and Save[ をクリックします。

Atlas が変更を配置するまで待ちます。 Atlas は、提供された構成の詳細を使用して、クラスターが LDAP サーバーに接続、認証、クエリを実行できることを確認します。