Microsoft Entra ID Domain Services를 사용하여 사용자 인증 및 권한 부여 구성

도메인에 대한 Microsoft Entra ID Domain Services를 구성합니다.

Microsoft Entra ID Domain Services를 구성하려면 고급 관리 도메인 Custom domain names 생성 지침을 따르세요. 튜토리얼에서 DNS 이름 옵션을 사용하여 Azure 설명서를 참조하세요.

관리형 도메인을 구성할 때는 DNS domain name 필드에 입력한 값을 기록해 두어야 합니다. 이 값은 <managed-domain>입니다. 이 튜토리얼의 여러 곳에 이 정보를 제공해야 합니다.

보안 LDAP를 위한 SSL 인증서를 받습니다.

Microsoft Entra ID Domain Services는 SSL 인증서를 사용하여 LDAP를 보호합니다. 인증서는 Azure 설명서에설명된 요구 사항을 준수해야 합니다.

인증서를 받으려면 다음과 같이 하세요:

• 조직에서 사용하는 공용 또는 엔터프라이즈 인증 기관(CA)에서 받으세요.

  • 보안 LDAP가 Microsoft Entra ID Domain Services에서 제대로 작동하도록 보장하려면 와일드카드 인증서를 발급해야 합니다.

  • 인증서의 주체 이름은 Microsoft Entra ID Domain Services를 구성할 때 사용한 <managed-domain>과 일치해야 합니다.

    예시

    *.aadds.example.com

• 자체 서명된 인증서를 생성합니다. 자체 서명된 인증서는 프로덕션에 권장되지 않습니다.

테스트 목적으로 MacOS 또는 Linux 시스템에서 자체 서명된 인증서를 생성하려면 다음을 수행합니다.

brew install openssl

1. openssl을 사용하여 개인 키를 생성합니다. 다음 명령어는 <your-key-name>.key로 명명된 비공개 키 파일을 생성합니다.

   openssl genrsa -out <your-key-name>.key 2048

2. 다음 구성 파일 템플릿을 편집합니다. [dn-param] 섹션의 속성을 조직과 관련된 값으로 업데이트합니다. 주체 이름(CN)이 다음 템플릿과 일치하는지 확인합니다: *.<managed-domain>

   예시

   *.aadds.example.com

   # openssl x509 extfile params
   extensions = extend
   [req] # openssl req params
   prompt = no
   distinguished_name = dn-param
   [dn-param] # DN fields
   C = US
   ST = NY
   L  = New York
   O = MongoDB
   OU = Atlas
   CN = *.aadds.example.com
   [extend] # openssl extensions
   subjectKeyIdentifier = hash
   authorityKeyIdentifier = keyid:always
   keyUsage = digitalSignature,keyEncipherment,keyCertSign
   extendedKeyUsage=serverAuth,clientAuth

3. 파일을 <your-config-name>.cfg(으)로 저장합니다.

4. 생성한 키와 구성 파일을 사용하여 인증서 서명 요청을 생성합니다. 다음 명령어는 <your-csr-name>.csr(으)로 명명된 인증서 서명 요청을 생성합니다.

   openssl req -new -key <your-key-name>.key \
   -out <your-csr-name>.csr -config <your-config-name>.cfg \
   -extensions extend

5. 생성한 키, 구성, 인증서 서명 요청 파일을 사용하여 자체 서명된 인증서를 생성합니다. 다음 명령어는 다음 이름의 자체 서명된 인증서 파일을 생성합니다: <your-cert-name>.crt

   openssl x509 -req -sha256 -days 365 -in <your-csr-name>.csr \
   -signkey <your-key-name>.key -out <your-cert-name>.crt \
   -extfile <your-config-name>.cfg

테스트 목적으로 Windows 시스템에서 자체 서명된 인증서를 생성하려면 Azure 설명서를 참조하세요.

비공개 키가 포함된 SSL 인증서를 받습니다.

Microsoft Entra ID Domain Services는 비공개 키를 사용하여 보안 LDAP 트래픽을 해독합니다. 비공개 키가 포함된 인증서는 PKCS#12 형식과 .pfx 파일 형식을 사용합니다. 공용 인터넷을 통해 전송된 보안 LDAP 트래픽을 해독하려면 이 형식의 인증서를 Microsoft Entra ID Domain Services에 업로드해야 합니다.

MacOS 또는 Linux 시스템에서 .pfx 인증서를 생성하려면 다음을 수행합니다.

1. 공개 키와 SSL 인증서를 로컬 시스템에 저장합니다.

   참고

   인증서는 PEM 형식을 사용해야 합니다.

   인증서에 비공개 키가 포함되어 있지 않으면 비공개 키를 .key 형식 파일로 저장할 수 있습니다.

2. 비공개 키와 openssl이 포함된 인증서를 사용하여 .pfx 인증서를 생성합니다. 다음 명령어는 <your-cert-name>.pfx(으)로 명명된 .pfx 인증서 파일을 생성합니다.

   openssl pkcs12 -export -out <your-cert-name>.pfx \
   -inkey <your-key-name>.key -in <your-cert-name>.crt

   메시지가 표시되면 파일을 암호화할 비밀번호를 입력하고 확인합니다. Microsoft Entra ID Domain Services에 .pfx 인증서를 업로드할 때 비공개 키를 해독하려면 이 비밀번호를 입력해야 합니다.

.pfx Windows 시스템에서 인증서를 생성하려면 Azure 설명서를 참조하세요.

Microsoft Entra ID Domain Services에서 보안 LDAP를 활성화합니다.

Microsoft Entra ID Domain Services에서 보안 LDAP를 활성화하려면 Azure 설명서를 참조하세요.

DNS 제공자를 구성합니다.

Atlas와 데이터베이스 노드가 Microsoft Entra ID Domain Services가 관리하는 사용자 지정 도메인의 LDAP 서버에 연결할 수 있도록 DNS 제공자를 구성해야 합니다.

<managed-domain>의 하위 도메인을 Microsoft Entra ID Domain Services LDAP 서비스가 사용하는 외부 IP 주소로 확인하는 LDAP 트래픽에 대한 호스트 레코드를 생성합니다.

Microsoft Entra ID Domain Services LDAP 서비스에서 사용하는 외부 IP 주소를 찾으려면 Azure 설명서를 참조하세요.

Microsoft Entra ID에 사용자 지정 도메인을 추가합니다.

사용자 지정 도메인 이름을 Microsoft Entra ID에 추가하여 도메인에 속한 사용자를 생성할 수 있습니다. 도메인을 추가한 후에는 DNS 제공자의 TXT 레코드에 Microsoft Entra ID DNS 정보도 추가하고 구성을 확인해야 합니다.

Microsoft Entra ID에 사용자 지정 도메인을 추가하려면 Azure 설명서를 참조하세요.

인바운드 LDAP 트래픽에 사용할 Microsoft Entra ID Domain Services를 구성합니다.

Microsoft Entra ID Domain Services를 Atlas의 LDAP 제공자로 사용하려면 공용 인터넷에서 636 포트까지 모든 포트를 통한 모든 트래픽을 허용해야 합니다.

포트 에서 인바운드 LDAP 트래픽을 허용하는 인바운드 보안 규칙을 추가하려면 636 Azure 설명서를 참조하세요.

바인드 사용자를 생성합니다.

바인드 사용자를 생성합니다. 바인드 사용자는 계정을 쿼리하고 데이터베이스 사용자가 Atlas 데이터베이스에 연결할 때 자격 증명을 인증하는 데 사용하는 Microsoft Entra ID 사용자입니다. 바인드 사용자는 Microsoft Entra ID에 추가한 사용자 지정 도메인에 속해 있어야 합니다.

Microsoft Entra ID 사용자를 생성하려면 Azure 설명서를 참조하세요.

Microsoft Entra ID Domain Services에 바인드 사용자 계정을 활성화합니다.

바인드 사용자가 Microsoft Entra ID Domain Services를 사용하려면 먼저 Kerberos 및 NTLM 인증을 위해 바인드 사용자에 대한 비밀번호 해시를 생성해야 합니다. 단계는 Microsoft Entra ID 사용자 계정 유형에 따라 다릅니다.

사용자에 대한 비밀번호 해시를 생성하는 방법을 알아보려면 Azure 설명서를 참조하세요.

바인딩 사용자 계정에 디렉토리 리더(reader) 역할을 할당합니다.

Microsoft Entra ID를 쿼리하려면 바인딩 사용자에게 디렉토리 리더 역할에서 부여한 권한이 있어야 합니다.

바인드 사용자에게 디렉토리 리더 역할을 할당하려면 Azure 설명서를 참조하세요.

Microsoft Entra ID 사용자를 생성합니다.

아직 존재하지 않는 경우 데이터베이스 액세스 권한을 부여하려는 사용자를 Microsoft Entra ID Domain Services에서 생성하세요. 사용자는 Microsoft Entra ID에 추가한 사용자 지정 도메인에 속해 있어야 합니다.

Microsoft Entra ID 사용자를 생성하려면 Azure 설명서를 참조하세요.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

LDAP Authentication 옆에 있는 버튼을 On으로 전환합니다.

Configure Your LDAP Server 패널에 서버 세부 정보를 입력하고 모든 LDAP 서버에 대한 자격 증명을 바인딩합니다.

여러 서버를 쉼표로 구분하여 나열할 수 있습니다. 다른 포트는 사용할 수 없습니다.

DN 매핑에 사용자 추가.

다음 예와 유사하게 사용자를 DN에 매핑에 추가하여 클라이언트가 Atlas 데이터베이스에 연결할 때 전체 DN 대신 사용자 이름을 제공하도록 허용합니다.

[
  {
      "match":"(.+)",
      "substitution":"CN={0},OU=AADDC Users,DC=<managed-domain>,DC=com"
  }
]

<managed-domain>이(가) 하나 이상의 하위 도메인으로 구성된 경우 각 고유 이름에 DC(domainComponent) 속성을 추가해야 합니다.

CA Root Certificate 필드에 LDAP 서버용 인증 기관(CA)에서 발급한 인증서를 쉼표로 구분하여 입력합니다.

자체 서명된 인증서를 제공할 수 있습니다.

Verify and Save를 클릭합니다.

Atlas에서 변경 사항을 배포할 때까지 기다립니다. Atlas는 제공한 구성 세부 정보를 사용하여 클러스터가 LDAP 서버로 연결, 인증, 쿼리할 수 있음을 확인합니다.

AtlasGo Atlas 에서 프로젝트 의 Database Access 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Database Access를 클릭합니다.

   데이터베이스 액세스 페이지가 표시됩니다.

LDAP 사용자를 Atlas에 추가합니다.

Azure AD에서 관리되는 사용자를 Atlas에 추가합니다.

1. 딸깍 하는 소리 Add New Database User.

2. LDAP User를 클릭합니다.

3. 다음 중 하나를 수행합니다:

   1. User to DN Mapping을 입력하지 않은 경우 LDAP 사용자의 전체 DN을 입력합니다. 다음 템플릿을 따릅니다.

      CN=<user-name>,OU=AADDC Users,DC=<managed>,DC=<domain>,DC=com

      예를 들어 <user-name>이(가) Jane Doe이고 <managed-domain>이(가)aadds.example.com인 경우 사용자의 DN은 다음과 같습니다.

      CN=Jane Doe,ou=AADDC Users,DC=aadds,DC=example,DC=com

   2. User to DN Mapping을 입력한 경우 매핑에 필요한 사용자 이름을 입력하세요.

4. 사용자에게 부여할 데이터베이스 액세스 수준을 선택합니다.

5. Add User를 클릭합니다.

AtlasGo Atlas 에서 프로젝트 의 Database Access 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Database Access를 클릭합니다.

   데이터베이스 액세스 페이지가 표시됩니다.

데이터베이스 액세스 LDAP 그룹을 Atlas에 추가합니다.

생성된 각 Azure 데이터베이스 그룹을 Atlas에 추가합니다. 추가한 그룹의 노드는 그룹에 부여된 데이터베이스 작업을 수행할 권한이 있습니다.

1. 딸깍 하는 소리 Add New Database User.

1. LDAP Group을 클릭한 다음 User to DN Mapping을 활성화한 경우에도 데이터베이스 사용자가 포함된 그룹의 전체 DN을 입력합니다 . 다음 템플릿을 따릅니다.

   CN=<group-name>,OU=AADDC Users,DC=<managed-domain>,DC=com

   참고

   Microsoft Entra ID Domain Services의 경우, 고유 이름의 속성은 대문자여야 합니다.

   <managed-domain>이(가) 하나 이상의 하위 도메인으로 구성된 경우 각 고유 이름에 DC(domainComponent) 속성을 추가해야 합니다.

   예시

   <managed-domain>이(가) aadds.example.com인 경우 도메인 구성 요소는 다음과 같습니다.

   DC=aadds,DC=example,DC=com

   예를 들어 <group-name>이(가) Atlas read only이고 <managed-domain>이(가)aadds.example.com인 경우 사용자의 DN은 다음과 같습니다.

   CN=Atlas read only,OU=AADDC Users,DC=aadds,DC=example,DC=com

1. 이 그룹의 사용자에게 부여할 데이터베이스 액세스 수준을 선택합니다.

2. Add User를 클릭합니다.

AtlasGo Atlas 에서 프로젝트 의 Advanced 페이지로 고 (Go) 합니다.

1. 아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.

2. 아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Security 제목 아래의 Advanced를 클릭합니다.

   고급 페이지가 표시됩니다.

LDAP Authorization 옆에 있는 버튼을 On으로 전환합니다.

Configure Your LDAP Server 패널에서 LDAP 서버에 대한 서버 세부 정보 및 바인딩 자격 증명이 올바른지 확인합니다.

Query Template에 쿼리 템플릿을 입력합니다.

사용자가 작업을 수행하려고 하면 Atlas는 LDAP 쿼리 템플릿을 실행하여 인증된 사용자가 속한 LDAP 그룹을 가져옵니다. Atlas는 쿼리가 작업을 수행할 권한이 있는 그룹을 하나 이상 반환하는 경우 작업을 허용합니다. 쿼리에서 작업을 수행할 권한이 있는 그룹을 반환하지 않는 경우 Atlas는 작업을 허용하지 않습니다.

Atlas는 쿼리를 실행할 때 {USER} 자리 표시자에서 인증된 사용자 이름을 대체합니다. 쿼리는 Server Hostname에 지정된 호스트에 상대적입니다.

쿼리 형식은 RFC4515 을 준수해야 합니다.

사용자가 속한 그룹을 식별하려면 기본 Query Template을 사용합니다.

{USER}?memberOf?base

Verify and Save를 클릭합니다.

Atlas에서 변경 사항을 배포할 때까지 기다립니다. Atlas는 제공한 구성 세부 정보를 사용하여 클러스터가 LDAP 서버로 연결, 인증, 쿼리할 수 있음을 확인합니다.