Configurar a Federação de Identidade do Volume de Trabalho com OAuth 2.0

Registre um aplicativo.

1. Navegue até App registrations.

   1. Em seu portal do Azure conta, pesquise e clique Microsoft Entra ID em .

   2. Na seção Manage da navegação à esquerda, clique em App registrations.

2. Clique em New registration.

3. Aplique os seguintes valores.

   Campo	Valor
   Name	Ops Manager Database - Workload
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	Web

(Opcional) Adicionar reivindicação de grupos.

É uma prática recomendada usar identificadores principais de serviço como identificadores de usuário do MongoDB ao definir direitos de acesso no Ops Manager. Se você planeja usar essa abordagem comum, pule esta etapa. No entanto, se você preferir usar identificadores de grupo, como o identificador do Microsoft Entra ID Security Group, poderá definir a reivindicação de grupos no registro do aplicação com as etapas abaixo.

1. Navegue até Token Configuration.

   Na seção Manage da navegação à esquerda, clique em Token Configuration.

2. Clique em Add groups claim.

3. No modal Edit groups claim, selecione Security.

   Quais grupos você seleciona dependem do tipo de grupos que você configurou em seu ambiente Azure. Talvez seja necessário selecionar um tipo diferente de grupo para enviar as informações apropriadas do grupo.

4. Na seção Customize token properties by type , certifique-se de selecionar apenas Group ID.

   Quando você seleciona Group Id, o Azure envia o ID de objeto do grupo de segurança.

5. Clique em Add.

   Para saber mais sobre como adicionar uma declaração de grupo, consulte Documentação do Azure.

Ative um URI de ID de aplicativo.

1. Navegue até Expose an API na barra lateral esquerda e ative o URI do ID do aplicativo.

2. Ative um URI de ID de aplicativo.

   1. Mantenha o URI de ID de aplicativo padrão atribuído pelo Azure, que é <application_client_id>. Copie e armazene esse valor, pois o Ops Manager e todos os drivers do MongoDB exigem esse valor para a configuração do Workload Identity Federation.

Atualize o manifesto.

1. Na seção Manage da navegação à esquerda, clique em Manifest.

2. Atualize o accessTokenAcceptedVersion de null para 2.

   O número 2 representa a Versão 2 dos tokens de acesso da Microsoft. Outros aplicativos podem usar isso como um atestado assinado da identidade do usuário gerenciado pelo Active Directory. A versão 2 garante que o token seja um JSON Web Token que o MongoDB entenda.

3. Clique em Save.

Para saber mais sobre como adicionar uma reivindicação opcional, consulte Documentação do Azure.

Lembre-se dos metadados.

1. Na navegação à esquerda, clique em Overview.

2. Na navegação superior, clique em Endpoints.

   Copie o valor OpenID Connect metadata document sem a parte /.well-known/openid-configuration.

   Você também pode recuperar este valor seguindo a URL do OpenID Connect metadata document e copiando o valor para issuer.

A tabela a seguir mostra para quais propriedades de configuração do Ops Manager esses valores de interface do usuário do Microsoft Entra ID são mapeados.

Navegue até a Security Settings caixa de diálogo para seu sistema.

1. Selecione a organização que contém seu projeto Organizations no menu da barra de navegação.

2. Selecione seu projeto no menu Projects na barra de navegação.

3. Clique em Deployment na barra lateral.

4. Clique na aba Security.

5. Clique na aba Settings.

6. Realize uma das seguintes ações:

   • Se esta for a primeira vez que você define configurações de TLS, autenticação ou autorização para este projeto, clique em Get Started.

   • Se você já configurou a autenticação do TLS ou as configurações de autorização deste projeto, clique em Edit.

Opcional: Especifique as Configurações do TLS.

Escolha o mecanismo de autenticação.

Na seção MongoDB Deployment Authentication Mechanism, selecione Federated Auth (OIDC).

Crie uma nova configuração do OIDC IdP.

1. Na seção OIDC Connection and Authorization (Required for OIDC), clique em + OIDC IdP Configuration.

2. Na caixa de diálogo OIDC Protocol Settings, selecione Workload Identity Federation.

Insira as seguintes configurações.

Clique em.<a class=\" \" href=\" \"Save Configuration title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

O Ops Manager salva a configuração e a lista na seção OIDC Connection and Authorization (Required for OIDC).

Clique em.<a class=\" \" href=\" \"Save Settings title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

Clique Review & Deploy em para rever as suas alterações.

Clique Confirm & Deploy em para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

Navegue até a Security Settings caixa de diálogo para seu sistema.

1. Selecione a organização que contém seu projeto Organizations no menu da barra de navegação.

2. Selecione seu projeto no menu Projects na barra de navegação.

3. Clique em Deployment na barra lateral.

4. Clique na aba Security.

5. Clique na aba Settings.

6. Realize uma das seguintes ações:

   • Se esta for a primeira vez que você define configurações de TLS, autenticação ou autorização para este projeto, clique em Get Started.

   • Se você já configurou a autenticação do TLS ou as configurações de autorização deste projeto, clique em Edit.

Opcional: Especifique as Configurações do TLS.

Escolha o mecanismo de autenticação.

Na seção MongoDB Deployment Authentication Mechanism, selecione Federated Auth (OIDC).

Crie uma nova configuração do OIDC IdP.

1. Na seção OIDC Connection and Authorization (Required for OIDC), clique em + OIDC IdP Configuration.

2. Na caixa de diálogo OIDC Protocol Settings, selecione Workload Identity Federation.

Insira as seguintes configurações.

Clique em.<a class=\" \" href=\" \"Save Configuration title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

O Ops Manager salva a configuração e a lista na seção OIDC Connection and Authorization (Required for OIDC).

Clique em.<a class=\" \" href=\" \"Save Settings title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

Clique Review & Deploy em para rever as suas alterações.

Clique Confirm & Deploy em para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

Navegue até a MongoDB Users aba do seu sistema.

1. Selecione a organização que contém seu projeto Organizations no menu da barra de navegação.

2. Selecione seu projeto no menu Projects na barra de navegação.

3. Clique em Deployment na barra lateral.

4. Clique na aba Security.

5. Clique na aba MongoDB Users.

Clique em.<a class=\" \" href=\" \"Add New User title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

Adicione o usuário do OIDC.

1. Preencha os campos da conta de usuário:

   Campo	Descrição
   Identifier	No primeiro campo, insira o banco de banco de dados $external . No segundo campo, insira um nome de usuário usando seu nome de configuração OIDC IdP e a reivindicação principal de usuário de sua configuração, separados por uma barra /: {configuration_name}/{user_principal_claim}
   Roles	Insira quaisquer roles definidas pelo usuário disponíveis e roles incorporadas nesta caixa. A caixa de combinação fornece uma lista de funções existentes quando você clica nela.
   Authentication Restrictions	Clique em Add Entry. Adicione um ou mais endereços IP e/ou blocos CIDR nas caixas Client Source Server Address ou. Separe vários endereços ou blocos com vírgulas. Client Source restringe quais endereços esse usuário pode autenticar e usar as roles fornecidas. Server Address restringe os endereços que esse usuário pode autenticar e tem os roles fornecidos. Clique em Save. Para adicionar outra entrada, clique em Add Entry.

2. Clique em Add User.

Clique Review & Deploy em para rever as suas alterações.

Clique Confirm & Deploy em para implantar suas alterações.

Caso contrário, clique em Cancel e você poderá fazer alterações adicionais.

Navegue até a MongoDB Roles aba do seu sistema.

1. Selecione a organização que contém seu projeto Organizations no menu da barra de navegação.

2. Selecione seu projeto no menu Projects na barra de navegação.

3. Clique em Deployment na barra lateral.

4. Clique na aba Security.

5. Clique na aba MongoDB Roles.

Clique em.<a class=\" \" href=\" \"Add New Role title=\" \"><svg xmlns=\" \" width=\" \" height=\" \" fill=\" \" viewbox=\" \" class=\" \" role=\" \" aria-label=\" \"><path fill=\" \" d=\" \"> <path fill=\" \" d=\" \">

Crie o papel OIDC.

1. Insira os seguintes campos:

   Campo	necessidade	Descrição
   Identifier	Obrigatório	Na caixa Database , digite admin. Na Name caixa, insira o nome da configuração do OIDC IdP e o nome do grupo do provedor de identidade externo, separados por uma / barra: {configuration_name}/{group_name}
   Inherits From	Opcional	Uma lista de pares de nomes de roles e reconhecimento de data center. O formato para esses pares é roleName@dbName.
   Authentication Restrictions	Opcional	Uma lista de endereços IP ou notações CIDR que você deseja restringir do seu IdP.
   Privilege Actions by Resource	Opcional	ação permitidas no recurso. Para saber mais, consulte Ações de privilégio.

2. Clique em Add Role.