OAuth 2.0으로 Workload Identity Federation 설정

애플리케이션을 등록합니다.

1. App registrations 로 이동합니다.

   1. Azure Portal 에서 계정을 검색 하고 를 Microsoft Entra ID 클릭합니다.

   2. 좌측 탐색의 Manage 섹션에서 App registrations을 클릭합니다.

2. New registration를 클릭합니다.

3. 다음 값을 적용합니다.

   필드	값
   Name	Cloud Manager Database - Workload
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	Web

(선택 사항) 그룹 클레임을 추가합니다.

Cloud Manager 에서 액세스 권한을 정의할 때 서비스 주체 식별자를 MongoDB 사용자 식별자로 사용하는 것이 가장 좋습니다. 이 일반적인 접근 방식을 사용할 계획이라면 이 단계를 건너뛰세요. 그러나 Microsoft Entra ID 보안 그룹 식별자와 같은 그룹 식별자를 대신 사용하려는 경우 아래 단계에 따라 애플리케이션 등록에서 그룹 클레임을 설정하다 수 있습니다.

1. Token Configuration(으)로 이동합니다.

   좌측 탐색의 Manage 섹션에서 Token Configuration을 클릭합니다.

2. Add groups claim를 클릭합니다.

3. Edit groups claim 0} 모달에서 을 Security 선택합니다.

   선택하는 그룹은 Azure 환경에서 구성한 그룹 유형에 따라 다릅니다. 적절한 그룹 정보를 전송하려면 다른 그룹 유형을 선택해야 할 수도 있습니다.

4. 0} Customize token properties by type 섹션에서 만 선택했는지 확인합니다.Group ID

   Group Id를 선택하면 Azure에서 보안 그룹의 객체 ID를 보냅니다.

5. Add를 클릭합니다.

   그룹 클레임 추가에 대해자세히 알아보려면 Azure 설명서를 참조하세요.

애플리케이션 ID URI를 활성화합니다.

1. 왼쪽 사이드바에서 Expose an API (으)로 이동하여 애플리케이션 ID URI를 활성화 합니다.

2. 애플리케이션 ID URI를 활성화합니다.

   1. Azure 에서 할당한 기본값 애플리케이션 ID URI인 <application_client_id> 을 유지합니다. Cloud Manager 및 모든 MongoDB 드라이버는 Workload Identity Federation 구성에 이 값을 필요로 하므로 이 값을 복사하여 저장 합니다.

매니페스트를 업데이트합니다.

1. 좌측 탐색의 Manage 섹션에서 Manifest을 클릭합니다.

2. 0}을 accessTokenAcceptedVersion null 에서 2 로 업데이트합니다.

   숫자 2는 Microsoft의 액세스 토큰 버전 2를 나타냅니다. 다른 애플리케이션에서는 이를 Active Directory에서 관리하는 사용자 ID의 서명된 증명으로 사용합니다. 버전 2는 토큰이 MongoDB가 이해할 수 있는 JSON Web Token인지 확인합니다.

3. Save를 클릭합니다.

선택적 클레임을 추가하는 방법에 대해 자세히 알아보려면 Azure 설명서를 참조하세요.

메타데이터를 기억하세요.

1. 왼쪽 탐색에서 Overview을 클릭합니다.

2. 상단 탐색에서 Endpoints을 클릭합니다.

   /.well-known/openid-configuration 부분을 제외한 OpenID Connect metadata document 값을 복사합니다.

   OpenID Connect metadata document URL을 따라가서 issuer의 값을 복사하여 이 값을 검색할 수도 있습니다.

다음 표는 이러한 Microsoft Entra ID UI 값이 매핑되는 Cloud Manager 구성 속성을 보여줍니다.

배포서버 서버에 대한 대화 상자로 이동합니다.Security Settings

1. 탐색 표시줄의 메뉴에서 프로젝트 가 포함된 조직 을 선택합니다. Organizations

2. 탐색 표시줄의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Deployment를 클릭합니다.

4. Security 탭을 클릭합니다.

5. Settings 탭을 클릭합니다.

6. 다음 작업 중 하나를 수행합니다.

   • 이 프로젝트에 대한 TLS, 인증 또는 권한 부여 설정을 처음 구성하는 경우 Get Started을(를) 클릭합니다.

   • 이 프로젝트에 대한 TLS 인증 또는 권한 부여 설정을 이미 구성한 경우 Edit을(를) 클릭합니다.

선택 사항: TLS 설정을 지정합니다.

인증 메커니즘을 선택합니다.

MongoDB Deployment Authentication Mechanism 섹션에서 Federated Auth (OIDC)를 선택합니다.

새 OIDC IdP 구성을 생성합니다.

1. OIDC Connection and Authorization (Required for OIDC) 섹션에서 + OIDC IdP Configuration을 클릭합니다.

2. OIDC Protocol Settings 대화 상자에서 Workload Identity Federation 을 선택합니다.

다음 설정을 입력합니다.

Save Configuration를 클릭합니다.

Cloud Manager 가 구성을 저장하고 OIDC Connection and Authorization (Required for OIDC) 섹션에 나열합니다.

Save Settings를 클릭합니다.

Review & Deploy 변경 사항을 검토 하려면 을 클릭합니다.

Confirm & Deploy 변경 사항을 배포 하려면 를 클릭합니다.

그렇지 않으면 Cancel을(를) 클릭하면 추가로 변경할 수 있습니다.

배포서버 서버에 대한 대화 상자로 이동합니다.Security Settings

1. 탐색 표시줄의 메뉴에서 프로젝트 가 포함된 조직 을 선택합니다. Organizations

2. 탐색 표시줄의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Deployment를 클릭합니다.

4. Security 탭을 클릭합니다.

5. Settings 탭을 클릭합니다.

6. 다음 작업 중 하나를 수행합니다.

   • 이 프로젝트에 대한 TLS, 인증 또는 권한 부여 설정을 처음 구성하는 경우 Get Started을(를) 클릭합니다.

   • 이 프로젝트에 대한 TLS 인증 또는 권한 부여 설정을 이미 구성한 경우 Edit을(를) 클릭합니다.

선택 사항: TLS 설정을 지정합니다.

인증 메커니즘을 선택합니다.

MongoDB Deployment Authentication Mechanism 섹션에서 Federated Auth (OIDC)를 선택합니다.

새 OIDC IdP 구성을 생성합니다.

1. OIDC Connection and Authorization (Required for OIDC) 섹션에서 + OIDC IdP Configuration을 클릭합니다.

2. OIDC Protocol Settings 대화 상자에서 Workload Identity Federation 을 선택합니다.

다음 설정을 입력합니다.

Save Configuration를 클릭합니다.

Cloud Manager 가 구성을 저장하고 OIDC Connection and Authorization (Required for OIDC) 섹션에 나열합니다.

Save Settings를 클릭합니다.

Review & Deploy 변경 사항을 검토 하려면 을 클릭합니다.

Confirm & Deploy 변경 사항을 배포 하려면 를 클릭합니다.

그렇지 않으면 Cancel을(를) 클릭하면 추가로 변경할 수 있습니다.

배포서버 MongoDB Users 서버의 탭 으로 이동합니다.

1. 탐색 표시줄의 메뉴에서 프로젝트 가 포함된 조직 을 선택합니다. Organizations

2. 탐색 표시줄의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Deployment를 클릭합니다.

4. Security 탭을 클릭합니다.

5. MongoDB Users 탭을 클릭합니다.

Add New User를 클릭합니다.

OIDC 사용자를 추가합니다.

1. 사용자 계정 필드를 작성합니다.

   필드	설명
   Identifier	첫 번째 필드 에 $external 데이터베이스 를 입력합니다. 두 번째 필드 에는 OIDC IdP 구성 이름을 사용하여 사용자 이름 을 입력하고 구성의 사용자 주체 클레임을 슬래시 로 구분하여 / 입력합니다. {configuration_name}/{user_principal_claim}
   Roles	이 상자에 사용 가능한 사용자 정의 역할과 기본 제공 역할을 입력합니다. 콤보 상자를 클릭하면 기존 역할 목록이 제공됩니다.
   Authentication Restrictions	Add Entry를 클릭합니다. 또는 상자에 하나 이상의 IP 주소 및/또는 CIDR 블록을 추가합니다.Client Source Server Address 여러 주소 또는 블록을 쉼표로 구분하세요. Client Source 이 사용자가 인증하고 지정된 역할을 사용할 수 있는 주소를 제한합니다. Server Address 이 사용자가 인증할 수 있고 지정된 역할을 갖는 주소를 제한합니다. Save를 클릭합니다. 다른 항목을 추가하려면 Add Entry 을 클릭합니다.

2. Add User를 클릭합니다.

Review & Deploy 변경 사항을 검토 하려면 을 클릭합니다.

Confirm & Deploy 변경 사항을 배포 하려면 를 클릭합니다.

그렇지 않으면 Cancel을(를) 클릭하면 추가로 변경할 수 있습니다.

배포서버 MongoDB Roles 서버의 탭 으로 이동합니다.

1. 탐색 표시줄의 메뉴에서 프로젝트 가 포함된 조직 을 선택합니다. Organizations

2. 탐색 표시줄의 Projects 메뉴에서 프로젝트를 선택합니다.

3. 사이드바에서 Deployment를 클릭합니다.

4. Security 탭을 클릭합니다.

5. MongoDB Roles 탭을 클릭합니다.

Add New Role를 클릭합니다.

OIDC 역할을 만듭니다.

1. 다음 필드를 입력합니다.

   필드	필요성	설명
   Identifier	필수 사항	Database 상자에 admin 을 입력합니다. Name 상자에 OIDC IdP 구성 이름과 외부 ID 제공자 의 그룹 이름을 슬래시 로 구분하여 / 입력합니다. {configuration_name}/{group_name}
   Inherits From	옵션	역할 이름 및 데이터베이스 쌍 목록입니다. 이러한 쌍의 형식은 roleName@dbName 입니다.
   Authentication Restrictions	옵션	IdP 에서 제한하려는 IP 주소 또는 CIDR 표기법의 목록입니다.
   Privilege Actions by Resource	옵션	리소스에 허용된 조치입니다. 학습 내용은 권한 작업을 참조하세요.

2. Add Role를 클릭합니다.