Configurar Federação de Identidade da Força de Trabalho com a OIDC

Registre um novo aplicativo para o Ops Manager.

Selecione public client/native application como o tipo de cliente .

Defina o Redirect URL valor http://localhost:27097/redirect como.

(Condicional) Adicione ou habilite uma groups declaração se você autenticar com grupos.

Para grupos, esta etapa garante que seus tokens de acesso contenham as informações de associação de grupo do usuário que está autenticando. O MongoDB usa os valores enviados em uma reivindicação de grupos para autorização.

(Opcional) Permita tokens de atualização se quiser que os clientes do MongoDB atualizem os tokens para uma melhor experiência do usuário.

(Opcional) Configure a duração do token de acesso (exp reivindicação) para alinhar com o tempo da sessão de conexão do banco de dados.

Registre um aplicativo.

1. Navegue até App registrations.

   1. Em seu portal do Azure conta, pesquise e clique Microsoft Entra ID em .

   2. Na seção Manage da navegação à esquerda, clique em App registrations.

2. Clique em New registration.

3. Aplique os seguintes valores.

   Campo	Valor
   Name	Ops Manager Database - Workforce
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - http://localhost:27097/redirect

4. Clique em Register.

Para saber mais sobre como registrar um aplicativo, consulte Documentação do Azure.

Adicione uma reivindicação de grupo.

1. Navegue até Token Configuration.

   Na seção Manage da navegação à esquerda, clique em Token Configuration.

2. Clique em Add groups claim.

3. No modal Edit groups claim, selecione Security.

   Quais grupos você seleciona dependem do tipo de grupos que você configurou em seu ambiente Azure. Talvez seja necessário selecionar um tipo diferente de grupo para enviar as informações apropriadas do grupo.

4. Na seção Customize token properties by type , selecione apenas Group ID.

5. Clique em Add.

Para saber mais sobre como adicionar uma declaração de grupo, consulte Documentação do Azure.

Adicione uma reivindicação de identificador de usuário ao token de acesso.

1. Clique em Add optional claim.

2. No modal Add optional claim, selecione Access.

3. Selecione uma declaração que contenha um identificador de usuário que você possa consultar nos registros de acesso do MongoDB, como um e-mail.

   Você pode usar a declaração UPN para identificar os usuários com seus endereços de e-mail.

4. Clique em Add.

5. Na anotação Microsoft Graph Permissions, marque a caixa e clique em Add.

Para saber mais, consulte Documentação do Azure.

Atualize o manifesto.

1. Na seção Manage da navegação à esquerda, clique em Manifest.

2. Atualize o accessTokenAcceptedVersion de null para 2.

   O número 2 representa a Versão 2 dos tokens de acesso da Microsoft. Outros aplicativos podem usar isso como um atestado assinado da identidade do usuário gerenciado pelo Active Directory. A versão 2 garante que o token seja um JSON Web Token que o MongoDB entenda.

3. Clique em Save.

Para saber mais sobre como adicionar uma reivindicação opcional, consulte Documentação do Azure.

Lembre-se dos metadados.

1. Na navegação à esquerda, clique em Overview.

   Copie o valor Application (client) ID.

2. Na navegação superior, clique em Endpoints.

   Copie o valor OpenID Connect metadata document sem a parte /.well-known/openid-configuration.

   Você também pode obter esse valor copiando o valor de issuer na URL OpenID Connect metadata document .

A tabela a seguir mostra como esses valores da interface do usuário do Microsoft Entra ID são mapeados em nossas propriedades de configuração do MongoDB Atlas :

Navegue até a MongoDB Roles aba do seu sistema.

1. Selecione a organização que contém seu projeto Organizations no menu da barra de navegação.

2. Selecione seu projeto no menu Projects na barra de navegação.

3. Clique em Deployment na barra lateral.

4. Clique na aba Security.

5. Clique na aba MongoDB Roles.

Clique em.<a class=\" \" href=\" \"Add New Role title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

Crie o papel OIDC.

1. Insira os seguintes campos:

   Campo	necessidade	Descrição
   Identifier	Obrigatório	Na caixa Database , digite admin. Na Name caixa, insira o nome da configuração do OIDC IdP e o nome do grupo do provedor de identidade externo, separados por uma / barra: {configuration_name}/{group_name}
   Inherits From	Opcional	Uma lista de pares de nomes de roles e reconhecimento de data center. O formato para esses pares é roleName@dbName.
   Authentication Restrictions	Opcional	Uma lista de endereços IP ou notações CIDR que você deseja restringir do seu IdP.
   Privilege Actions by Resource	Opcional	ação permitidas no recurso. Para saber mais, consulte Ações de privilégio.

2. Clique em Add Role.

Navegue até a MongoDB Users aba do seu sistema.

1. Selecione a organização que contém seu projeto Organizations no menu da barra de navegação.

2. Selecione seu projeto no menu Projects na barra de navegação.

3. Clique em Deployment na barra lateral.

4. Clique na aba Security.

5. Clique na aba MongoDB Users.

Clique em.<a class=\" \" href=\" \"Add New User title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

Adicione o usuário do OIDC.

1. Preencha os campos da conta de usuário:

   Campo	Descrição
   Identifier	No primeiro campo, insira o banco de banco de dados $external . No segundo campo, insira um nome de usuário usando seu nome de configuração OIDC IdP e a reivindicação principal de usuário de sua configuração, separados por uma barra /: {configuration_name}/{user_principal_claim}
   Roles	Insira quaisquer roles definidas pelo usuário disponíveis e roles incorporadas nesta caixa. A caixa de combinação fornece uma lista de funções existentes quando você clica nela.
   Authentication Restrictions	Clique em Add Entry. Adicione um ou mais endereços IP e/ou blocos CIDR nas caixas Client Source Server Address ou. Separe vários endereços ou blocos com vírgulas. Client Source restringe quais endereços esse usuário pode autenticar e usar as roles fornecidas. Server Address restringe os endereços que esse usuário pode autenticar e tem os roles fornecidos. Clique em Save. Para adicionar outra entrada, clique em Add Entry.

2. Clique em Add User.

Clique Review & Deploy em para rever as suas alterações.

Clique Confirm & Deploy em para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.