OAuth 2.0で Workload Identity Federation を設定する

アプリケーションを登録します。

1. App registrationsに移動します。

   1. Azure portal で アカウント、検索、Microsoft Entra ID の順にクリックします。

   2. 左側のナビゲーションの Manage セクションで、App registrations をクリックします。

2. [New registration] をクリックします。

3. 次の値を適用します。

   フィールド	値
   Name	Ops Manager Database - Workload
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	Web

（任意）グループのクレームを追加します。

MongoDBMongoDB Ops Managerでアクセス権を定義する際に、サービスMongoDB Ops Manager プリンシパル識別子をMongoDBユーザー識別子として使用することをお勧めします。この一般的なアプローチを使用する場合は、このステップをスキップしてください。 ただし、代わりにMicrosoft Entra IDセキュリティ グループ識別子などのグループ識別子を使用する場合は、以下の手順でアプリケーション登録でグループ クレームを設定できます。

1. Token Configurationに移動します。

   左側のナビゲーションの Manage セクションで、Token Configuration をクリックします。

2. [Add groups claim] をクリックします。

3. Edit groups claimモーダルで、 Securityを選択します。

   選択するグループは、Azure 環境で構成したグループのタイプによって異なります。 適切なグループ情報を送信するには、別のタイプのグループを選択する必要がある場合があります。

4. Customize token properties by typeセクションで、 Group IDのみを選択していることを確認します。

   Group Idを選択すると、Azure はセキュリティ グループのオブジェクト ID を送信します。

5. [Add] をクリックします。

   グループ クレームを追加する方法の詳細については、 Azure ドキュメント を参照してください。

アプリケーション ID URI を有効にします。

1. 左側のサイドバーでExpose an APIに移動し、アプリケーション ID URI を有効にします。

2. アプリケーション ID URI を有効にします。

   1. Azureによって割り当てられたデフォルトのアプリケーションID URI を保持します。このアプリケーション ID URI は <application_client_id> です。この値をコピーして保存しますMongoDBMongoDB Ops Manager MongoDBOps ManagerとすべてのMongoDBドライバーは Workload Identity Federation の構成にこの値が必要です。

マニフェストを更新します。

1. 左側のナビゲーションの Manage セクションで、Manifest をクリックします。

2. nullから2にaccessTokenAcceptedVersionを更新します。

   数字2は Microsoft のアクセス トークンのバージョン 2 を表します。 他のアプリケーションは、Active Directory が管理するユーザーの ID の署名された認証局としてこれを使用できます。 バージョン 2 では、トークンはJSON web token MongoDBが理解する であることが保証されます。

3. [Save] をクリックします。

オプションのクレームを追加する方法の詳細については、 Azure のドキュメント を参照してください。

メタデータを記憶します。

1. 左側のナビゲーションで [ Overview ] をクリックします。

2. 上部のナビゲーションで、 Endpointsをクリックします。

   /.well-known/openid-configuration部分を除いてOpenID Connect metadata document値をコピーします。

   この値は、 OpenID Connect metadata document URLをクリックし、 issuerの値をコピーして取得することもできます。

次の表は、これらのMicrosoftMongoDB Ops Manager MicrosoftEntraID ID UI値がマップするMongoDB Ops Manager構成プロパティ を示しています。

配置用のSecurity Settings ダイアログに移動します。

1. Organizationsナビゲーション バーの [] メニューから、プロジェクトを含む組織を選択します。

2. ナビゲーション バーのProjectsメニューからプロジェクトを選択します。

3. サイドバーの Deployment をクリックします。

4. [Security] タブをクリックします。

5. [Settings] タブをクリックします。

6. 次のいずれかのアクションを実行します。

   • このプロジェクトでTLS 、認証、または認可設定を初めて構成する場合は、 Get Startedをクリックします。

   • このプロジェクトのTLS認証または認可設定をすでに構成している場合は、[ Editをクリックします。

オプション: TLS 設定を指定します。

認証メカニズムを選択します。

MongoDB Deployment Authentication Mechanismセクションで、[Federated Auth (OIDC)] を選択します。

新しい OIDC IdP 構成を作成します。

1. OIDC Connection and Authorization (Required for OIDC)セクションで、 + OIDC IdP Configurationをクリックします。

2. OIDC Protocol Settingsダイアログ ボックスでWorkload Identity Federation [] を選択します。

次の設定を入力します。

[Save Configuration] をクリックします。

MongoDBMongoDB Ops Manager Ops Managerは構成を保存し、 セクションに一覧表示します。OIDC Connection and Authorization (Required for OIDC)

[Save Settings] をクリックします。

Review & Deploy変更内容を確認するには、 をクリックします。

Confirm & Deploy変更を配置するには、 をクリックします。

そうでない場合は、 Cancelをクリックすると、追加の変更を行うことができます。

配置用のSecurity Settings ダイアログに移動します。

1. Organizationsナビゲーション バーの [] メニューから、プロジェクトを含む組織を選択します。

2. ナビゲーション バーのProjectsメニューからプロジェクトを選択します。

3. サイドバーの Deployment をクリックします。

4. [Security] タブをクリックします。

5. [Settings] タブをクリックします。

6. 次のいずれかのアクションを実行します。

   • このプロジェクトでTLS 、認証、または認可設定を初めて構成する場合は、 Get Startedをクリックします。

   • このプロジェクトのTLS認証または認可設定をすでに構成している場合は、[ Editをクリックします。

オプション: TLS 設定を指定します。

認証メカニズムを選択します。

MongoDB Deployment Authentication Mechanismセクションで、[Federated Auth (OIDC)] を選択します。

新しい OIDC IdP 構成を作成します。

1. OIDC Connection and Authorization (Required for OIDC)セクションで、 + OIDC IdP Configurationをクリックします。

2. OIDC Protocol Settingsダイアログ ボックスでWorkload Identity Federation [] を選択します。

次の設定を入力します。

[Save Configuration] をクリックします。

MongoDBMongoDB Ops Manager Ops Managerは構成を保存し、 セクションに一覧表示します。OIDC Connection and Authorization (Required for OIDC)

[Save Settings] をクリックします。

Review & Deploy変更内容を確認するには、 をクリックします。

Confirm & Deploy変更を配置するには、 をクリックします。

そうでない場合は、 Cancelをクリックすると、追加の変更を行うことができます。

配置のMongoDB Users [0} ] タブに移動します。

1. Organizationsナビゲーション バーの [] メニューから、プロジェクトを含む組織を選択します。

2. ナビゲーション バーのProjectsメニューからプロジェクトを選択します。

3. サイドバーの Deployment をクリックします。

4. [Security] タブをクリックします。

5. [MongoDB Users] タブをクリックします。

[Add New User] をクリックします。

OIDC ユーザーを追加します。

1. ユーザーアカウントのフィールドを入力します。

   フィールド	説明
   Identifier	最初のフィールドに $externalデータベースを入力します。 2 番目のフィールドに、OIDC IdP 構成名と構成のユーザー プリンシパル クレームをスラッシュで区切って使用してユーザー名を入力します。/ {configuration_name}/{user_principal_claim}
   Roles	使用可能なユーザー定義ロールと組み込みロールをこのボックスに入力します。 コンボボックス内で をクリックすると、既存のロールのリストが表示されます。
   Authentication Restrictions	[Add Entry] をクリックします。 ボックスまたは Client SourceServer Addressボックスのいずれかに 1 つ以上のIPアドレスや CIDR ブロックを追加します。複数のアドレスまたはブロックはカンマで区切ります。 Client Source は、このユーザーが認証を行い、指定されたロールを使用できるアドレスを制限します。 Server Address は、このユーザーが認証できるアドレスを制限し、指定されたロールを持つ必要があります。 [Save] をクリックします。 別のエントリを追加するには、[ Add Entry ] をクリックします。

2. [Add User] をクリックします。

Review & Deploy変更内容を確認するには、 をクリックします。

Confirm & Deploy変更を配置するには、 をクリックします。

そうでない場合は、 Cancelをクリックすると、追加の変更を行うことができます。

配置のMongoDB Roles [0} ] タブに移動します。

1. Organizationsナビゲーション バーの [] メニューから、プロジェクトを含む組織を選択します。

2. ナビゲーション バーのProjectsメニューからプロジェクトを選択します。

3. サイドバーの Deployment をクリックします。

4. [Security] タブをクリックします。

5. [MongoDB Roles] タブをクリックします。

[Add New Role] をクリックします。

OIDC ロールを作成します。

1. 次のフィールドを入力します。

   フィールド	必要性	説明
   Identifier	必須	Databaseボックスにadminと入力します。 Nameボックスに、OIDC IdP 構成名と外部IdPのグループ名をスラッシュで区切って入力します:/ {configuration_name}/{group_name}
   Inherits From	任意	ロール名とデータベースのペアのリスト。 これらのペアの形式はroleName@dbNameです。
   Authentication Restrictions	任意	IdPから制限する IP アドレスまたは CIDR 表記のリスト。
   Privilege Actions by Resource	任意	リソースに対して許可されるアクション。 詳しくは、「特権アクション 」を参照してください。

2. [Add Role] をクリックします。