OIDC で Workforce IdP を設定する

MongoDB Ops Manager に新しいアプリケーションを登録します。

クライアント タイプとして public client/native applicationを選択します。

Redirect URLの値をhttp://localhost:27097/redirect に設定します。

（条件付き）グループで認証する場合は、groups クレームを追加または有効にします。

グループの場合、この手順により、アクセス トークンにユーザー認証のグループ メンバーシップ情報が含まれていることを確認できます。 MongoDB は、認可のためにグループ クレームで送信された値を使用します。

（任意）MongoDB クライアントでトークンを更新してユーザー エクスペリエンスを向上させる場合は、更新トークンを許可します。

（任意）アクセス トークンの有効期間（ expクレーム）をデータベース接続セッション時間と一致するように設定します。

アプリケーションを登録します。

1. App registrationsに移動します。

   1. Azure portal で アカウント、検索、Microsoft Entra ID の順にクリックします。

   2. 左側のナビゲーションの Manage セクションで、App registrations をクリックします。

2. [New registration] をクリックします。

3. 次の値を適用します。

   フィールド	値
   Name	Ops Manager Database - Workforce
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - http://localhost:27097/redirect

4. [Register] をクリックします。

アプリケーションの登録の詳細については、 Azure のドキュメントを参照してください。

グループ クレームを追加します。

1. Token Configurationに移動します。

   左側のナビゲーションの Manage セクションで、Token Configuration をクリックします。

2. [Add groups claim] をクリックします。

3. Edit groups claimモーダルで、 Securityを選択します。

   選択するグループは、Azure 環境で構成したグループのタイプによって異なります。 適切なグループ情報を送信するには、別のタイプのグループを選択する必要がある場合があります。

4. Customize token properties by typeセクションで、 Group IDのみを選択します。

5. [Add] をクリックします。

グループ クレームを追加する方法の詳細については、 Azure ドキュメント を参照してください。

アクセス トークンにユーザー識別子クレームを追加します。

1. [Add optional claim] をクリックします。

2. Add optional claimモーダルで、 Accessを選択します。

3. メールなど、MongoDB アクセス ログで参照できるユーザー識別子を含むクレームを選択します。

   UPNクレームを使用して、メール アドレスを持つユーザーを識別できます。

4. [Add] をクリックします。

5. Microsoft Graph Permissionsノートで、[] ボックスをオンにし、[ Addをクリックします。

詳しくは、 Azure のドキュメント を参照してください。

マニフェストを更新します。

1. 左側のナビゲーションの Manage セクションで、Manifest をクリックします。

2. nullから2にaccessTokenAcceptedVersionを更新します。

   数字2は Microsoft のアクセス トークンのバージョン 2 を表します。 他のアプリケーションは、Active Directory が管理するユーザーの ID の署名された認証局としてこれを使用できます。 バージョン 2 では、トークンはJSON web token MongoDBが理解する であることが保証されます。

3. [Save] をクリックします。

オプションのクレームを追加する方法の詳細については、 Azure のドキュメント を参照してください。

メタデータを記憶します。

1. 左側のナビゲーションで [ Overview ] をクリックします。

   Application (client) ID値をコピーします。

2. 上部のナビゲーションで、 Endpointsをクリックします。

   /.well-known/openid-configuration部分を除いてOpenID Connect metadata document値をコピーします。

   この値は、 OpenID Connect metadata document URLでissuerの値をコピーすることで取得することもできます。

次の表は、これらのMicrosoft Entra ID UIの値がMongoDB Atlas構成プロパティでどのようにマップされているかを示しています。

配置のMongoDB Roles [0} ] タブに移動します。

1. Organizationsナビゲーション バーの [] メニューから、プロジェクトを含む組織を選択します。

2. ナビゲーション バーのProjectsメニューからプロジェクトを選択します。

3. サイドバーの Deployment をクリックします。

4. [Security] タブをクリックします。

5. [MongoDB Roles] タブをクリックします。

をクリックします。<a class=\" \" href=\" \" title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">Add New Role

OIDC ロールを作成します。

1. 次のフィールドを入力します。

   フィールド	必要性	説明
   Identifier	必須	Databaseボックスにadminと入力します。 Nameボックスに、OIDC IdP 構成名と外部IdPのグループ名をスラッシュで区切って入力します:/ {configuration_name}/{group_name}
   Inherits From	任意	ロール名とデータベースのペアのリスト。 これらのペアの形式はroleName@dbNameです。
   Authentication Restrictions	任意	IdPから制限する IP アドレスまたは CIDR 表記のリスト。
   Privilege Actions by Resource	任意	リソースに対して許可されるアクション。 詳しくは、「特権アクション 」を参照してください。

2. [Add Role] をクリックします。

配置のMongoDB Users [0} ] タブに移動します。

1. Organizationsナビゲーション バーの [] メニューから、プロジェクトを含む組織を選択します。

2. ナビゲーション バーのProjectsメニューからプロジェクトを選択します。

3. サイドバーの Deployment をクリックします。

4. [Security] タブをクリックします。

5. [MongoDB Users] タブをクリックします。

をクリックします。<a class=\" \" href=\" \" title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">Add New User

OIDC ユーザーを追加します。

1. ユーザーアカウントのフィールドを入力します。

   フィールド	説明
   Identifier	最初のフィールドに $externalデータベースを入力します。 2 番目のフィールドに、OIDC IdP 構成名と構成のユーザー プリンシパル クレームをスラッシュで区切って使用してユーザー名を入力します。/ {configuration_name}/{user_principal_claim}
   Roles	使用可能なユーザー定義ロールと組み込みロールをこのボックスに入力します。 コンボボックス内で をクリックすると、既存のロールのリストが表示されます。
   Authentication Restrictions	[Add Entry] をクリックします。 ボックスまたは Client SourceServer Addressボックスのいずれかに 1 つ以上のIPアドレスや CIDR ブロックを追加します。複数のアドレスまたはブロックはカンマで区切ります。 Client Source は、このユーザーが認証を行い、指定されたロールを使用できるアドレスを制限します。 Server Address は、このユーザーが認証できるアドレスを制限し、指定されたロールを持つ必要があります。 [Save] をクリックします。 別のエントリを追加するには、[ Add Entry ] をクリックします。

2. [Add User] をクリックします。

Review & Deploy変更内容を確認するには、 をクリックします。

Confirm & Deploy変更を配置するには、 をクリックします。

そうでない場合は、 Cancelをクリックすると、追加の変更を行うことができます。