使用 Microsoft Entra ID 域服务配置用户身份验证和授权

为您的域配置 Microsoft Entra ID 域服务。

要配置 Microsoft Entra ID Domain Services，请按照 创建高级托管域 Azure 文档中的教程使用Custom domain names DNS 名称选项。

配置托管域时，确保记录在 DNS domain name 字段中输入的值。该值是您的 <managed-domain> 。您必须在本教程的几个地方提供此值。

获取安全 LDAP 的 SSL 证书。

Microsoft Entra ID Domain Services 使用 SSL 证书来保护 LDAP。 您的证书必须遵守 Azure 文档中概述的要求。

可通过以下任一方式获取证书：

• 从贵组织使用的公共或企业证书颁发机构 (CA) 获取证书。

  • 您必须获取通配符证书，才能确保安全 LDAP 与 Microsoft Entra ID 域服务正常配合使用。

  • 证书的主题名称必须与您在配置 Microsoft Entra ID 域服务时使用的 <managed-domain> 匹配。

    例子

    *.aadds.example.com

• 生成自签名证书。不建议 在生产中使用自签名证书。

要在 MacOS 或 Linux 系统上生成测试用的自签名证书

brew install openssl

1. 通过 openssl 生成私钥。以下命令将生成一个密钥文件，名为 <your-key-name>.key：

   openssl genrsa -out <your-key-name>.key 2048

2. 编辑以下配置文件模板。通过与组织相关的值更新 [dn-param] 部分的属性。确保主题名称 (CN) 与以下模板匹配：*.<managed-domain>

   例子

   *.aadds.example.com

   # openssl x509 extfile params
   extensions = extend
   [req] # openssl req params
   prompt = no
   distinguished_name = dn-param
   [dn-param] # DN fields
   C = US
   ST = NY
   L  = New York
   O = MongoDB
   OU = Atlas
   CN = *.aadds.example.com
   [extend] # openssl extensions
   subjectKeyIdentifier = hash
   authorityKeyIdentifier = keyid:always
   keyUsage = digitalSignature,keyEncipherment,keyCertSign
   extendedKeyUsage=serverAuth,clientAuth

3. 将文件另存为 <your-config-name>.cfg。

4. 使用您创建的密钥和配置文件生成证书签名请求。以下命令生成证书签名请求，名为 <your-csr-name>.csr：

   openssl req -new -key <your-key-name>.key \
   -out <your-csr-name>.csr -config <your-config-name>.cfg \
   -extensions extend

5. 使用您创建的密钥、配置和证书签名请求文件生成自签名证书。以下命令生成自签名证书文件，名为 <your-cert-name>.crt

   openssl x509 -req -sha256 -days 365 -in <your-csr-name>.csr \
   -signkey <your-key-name>.key -out <your-cert-name>.crt \
   -extfile <your-config-name>.cfg

要在 Windows 系统上生成自签名证书 用于测试目的 ，请参阅 Azure 文档。

获取包含您的私钥的 SSL 证书。

Microsoft Entra ID 域服务使用私钥以解密安全 LDAP 流量。包含私钥的证书使用 PKCS#12 格式，并使用 .pfx 文件格式。您必须将该格式的证书上传到 Microsoft Entra ID 域服务中，才能解密通过公共互联网发送的安全 LDAP 流量。

要在 MacOS 或 Linux 系统上生成 .pfx 证书：

1. 将公钥和 SSL 证书保存到本地计算机。

   注意

   此证书必须使用 PEM 格式。

   如果此证书不包含私钥，则您可以将私钥保存为 .key 格式的文件。

2. 使用私钥和证书通过 openssl 生成 .pfx 证书。以下命令生成名为 <your-cert-name>.pfx 的 .pfx 证书文件：

   openssl pkcs12 -export -out <your-cert-name>.pfx \
   -inkey <your-key-name>.key -in <your-cert-name>.crt

   在出现提示时，输入并验证密码以加密该文件。在将 .pfx 证书上传到 Microsoft Entra ID 域服务时，您需要输入该密码以解密私钥。

.pfx要在 Windows 系统上生成 证书，请参阅 Azure 文档。

在 Microsoft Entra ID 域服务上启用安全 LDAP。

要在 Microsoft Entra ID Domain Services 上启用安全 LDAP，请参阅 Azure 文档。

配置您的 DNS 提供商。

您必须配置 DNS 提供程序，以便 Atlas 和数据库节点可以连接到 Microsoft Entra ID 域服务管理的自定义域中的 LDAP 服务器。

创建 LDAP 流量的主机记录，以将 <managed-domain> 的子域解析为 Microsoft Entra ID 域服务 LDAP 服务使用的外部 IP 地址：

要查找 Microsoft Entra ID Domain Services LDAP 服务使用的外部 IP 地址，请参阅 Azure 文档。

将您的自定义域添加到 Microsoft Entra ID 中。

将您的自定义域名添加到 Microsoft Entra ID 中，以创建属于您的域的用户。在添加您的域后，还必须将 Microsoft Entra ID DNS 信息添加到 DNS 提供程序的 TXT 记录中并验证配置。

要将您的自定义域添加到 Microsoft Entra ID 中，请参阅 Azure 文档。

为入站 LDAP 流量配置 Microsoft Entra ID 域服务。

您必须允许从所有端口通过公共互联网传输到端口 636 的所有流量，才能将 Microsoft Entra ID 域服务作为 Atlas 的 LDAP 提供程序。

要添加入站安全规则以允许端口 上的入站 LDAP636 流量，请参阅 Azure 文档。

创建绑定用户。

创建一个绑定用户。绑定用户是一个 Microsoft Entra ID 用户，用于查询帐户以及在数据库用户连接到 Atlas 数据库时验证其凭证。绑定用户必须属于您添加到 Microsoft Entra ID 的自定义域。

要创建 Microsoft Entra ID 用户，请参阅 Azure 文档。

为 Microsoft Entra ID 域服务启用绑定用户帐户。

您必须先为绑定用户生成用于 Kerberos 和 NTLM 身份验证的密码哈希，然后绑定用户才能使用 Microsoft Entra ID 域服务。这些步骤因 Microsoft Entra ID 用户帐户类型而异。

要了解如何为用户生成密码哈希，请参阅 Azure 文档。

将目录读取者角色分配给绑定用户帐户。

要查询 Microsoft Entra ID，绑定用户必须具有目录读者角色授予的权限。

要将目录读取者角色分配给绑定用户，请参阅 Azure 文档。

创建 Microsoft Entra ID 用户。

如果还没有这些用户，请在 Microsoft Entra ID 域服务中创建要授予数据库访问权限的用户。用户必须属于您添加到 Microsoft Entra ID 的自定义域。

要创建 Microsoft Entra ID 用户，请参阅 Azure 文档。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

将 LDAP Authentication（基于推送的日志导出）旁边的按钮切换为 On（开）。

在 Configure Your LDAP Server（配置 LDAP 服务器）面板中为所有 LDAP 服务器输入服务器详细信息并绑定凭证。

您可以列出多个服务器，用逗号分隔。 不能使用不同的端口。

将用户添加到 DN 映射。

将用户添加到类似于以下示例的 DN 映射， 支持客户端在连接 Atlas 数据库时提供用户名而不是完整 DNS：

[
  {
      "match":"(.+)",
      "substitution":"CN={0},OU=AADDC Users,DC=<managed-domain>,DC=com"
  }
]

如果 <managed-domain> 包含一个或多个子域，则您必须为每个子域的可分辨名称添加一个 DC(domainComponent) 属性。

在 CA Root Certificate（CA 根证书）字段中输入证书颁发机构 (CA) 为 LDAP 服务器颁发的证书，中间用逗号隔开。

您可以提供自签名证书。

单击 Verify and Save（保存并关闭）。

等待 Atlas 部署更改。Atlas 使用 您提供的配置详细信息，验证集群是否可以连接到 LDAP 服务器、 使用 LDAP 服务器进行身份验证和查询 LDAP 服务器。

AtlasGoDatabase Access在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Database Access。

   显示数据库访问页面。

将 LDAP 用户添加到 Atlas。

将 Azure AD 托管用户添加到 Atlas。

1. 单击 Add New Database User（添加新的数据库用户）。

2. 单击 LDAP User（连接）。

3. 执行以下操作之一：

   1. 如果您尚未输入 User to DN Mapping，请输入 LDAP 用户的完整标识名 (DN)。遵循此模板：

      CN=<user-name>,OU=AADDC Users,DC=<managed>,DC=<domain>,DC=com

      例如，如果 <user-name> 为 Jane Doe 并且 <managed-domain> 为 aadds.example.com，则用户的 DN 为：

      CN=Jane Doe,ou=AADDC Users,DC=aadds,DC=example,DC=com

   2. 如果您输入了 User to DN Mapping，则输入映射所需的用户名。

4. 选择要授予用户的数据库访问级别。

5. 单击 Add User（连接）。

AtlasGoDatabase Access在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Database Access。

   显示数据库访问页面。

将数据库访问 LDAP 群组添加到 Atlas。

将您创建的每个 Azure 数据库群组添加到 Atlas。 您所添加群组的成员有权执行已授权此群组的数据库操作。

1. 单击 Add New Database User（添加新的数据库用户）。

1. 点击 LDAP Group，然后输入包含数据库用户的组的完整标识名，即使启用了 User to DN Mapping 也要如此操作。遵循此模板：

   CN=<group-name>,OU=AADDC Users,DC=<managed-domain>,DC=com

   注意

   对于 Microsoft Entra ID 域服务，可分辨名称中的属性必须是大写的。

   如果 <managed-domain> 包含一个或多个子域，则您必须为每个子域的可分辨名称添加一个 DC(domainComponent) 属性。

   例子

   如果 <managed-domain> 是 aadds.example.com，则域组件为：

   DC=aadds,DC=example,DC=com

   例如，如果 <group-name> 为 Atlas read only 并且 <managed-domain> 为 aadds.example.com，则用户的 DN 为：

   CN=Atlas read only,OU=AADDC Users,DC=aadds,DC=example,DC=com

1. 选择要授予此群组中用户的数据库访问级别。

2. 单击 Add User（连接）。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

将 LDAP Authorization（基于推送的日志导出）旁边的按钮切换为 On（开）。

在 Configure Your LDAP Server（配置 LDAP 服务器）面板中验证 LDAP 服务器的服务器详细信息和绑定凭证是否正确。

在 Query Template（查询模板）中输入查询模板。

当用户尝试执行操作时，Atlas 会执行 LDAP 查询模板，获取经验证的用户所属的 LDAP 群组。如果查询返回至少一个有权执行此操作的群组，则 Atlas 允许执行此操作。如果查询未返回有权执行此操作的群组，则 Atlas 不允许执行此操作。

在运行查询时，Atlas 会替换 {USER} 占位符中经验证的用户名。该查询与 Server Hostname 中指定的主机相关。

查询的格式必须符合 RFC4515 。

如果您要识别用户所属的群组，则可使用默认 Query Template：

{USER}?memberOf?base

单击 Verify and Save（保存并关闭）。

等待 Atlas 部署更改。Atlas 使用 您提供的配置详细信息，验证集群是否可以连接到 LDAP 服务器、 使用 LDAP 服务器进行身份验证和查询 LDAP 服务器。

AtlasGoClusters在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。

3. 如果尚未出现，请单击侧边栏中的 Clusters（集群）。

   会显示集群页面。

使用 mongosh 通过您添加到 Atlas 的用户凭据连接到您的集群。

要复制连接字符串：

1. 单击 Connect（连接）。

2. 单击 LDAP，然后单击 Copy（复制）。

3. 粘贴并编辑包含您的用户 DN 和密码的字符串。

如果 <managed-domain> 包含一个或多个子域，则您必须为每个子域的可分辨名称添加一个 DC(domainComponent) 属性。

将用户完整 DN 中的用户名或群组名称中的空格转义：

--username CN=Jane\ Doe,OU=AADDC\ Users,DC=aadds,DC=example,DC=com

连接到集群后，运行命令以验证用户是否具有您为其分配的读取或写入特权。