使用 Okta LDAP 接口配置用户身份验证和授权

设置 Okta LDAP 界面。

1. 要了解有关设置 Okta LDAP 界面的更多信息，请参阅 Okta 文档。

2. 记下您的<okta-instance-id> 。 您必须在配置过程中在多个位置提供此值。

   实例名称位于用于登录 Okta 帐户的 URL 中：

   https://<okta-instance-id>.admin.okta.com

创建绑定用户。

1. 创建新的 Okta 用户 用作 Atlas 绑定用户。绑定用户是 Okta 用户，用于查询帐户以及在数据库用户连接到 Atlas 数据库时验证数据库用户的档案。

   重要

   请勿将您自己的用户帐户用于绑定用户。

2. 使用以下模板确定绑定用户的完整标识名 (DN)：

   uid=<bind-user-email>,dc=<okta-instance-id>,dc=okta,dc=com

   例如，如果<bind-user-email>为bind@example.com ， <okta-instance-id>为mdb-example ，则绑定用户的标识名为：

   uid=bind@example.com,ou=users,dc=mdb-example,dc=okta,dc=com

在 Okta 中创建数据库用户。

如果此类用户不存在，请在 Okta 中创建要授予数据库访问权限的用户：

1. 导航到 Okta 人员页面。

2. 单击 Add Person（连接）。

3. 输入用户的详细信息。 使用电子邮件地址作为用户名。

   注意

   避免输入带有加号 ( + ) 的电子邮件地址。 Atlas LDAP集成可能会遇到包含加号的电子邮件地址问题。

4. 单击 Save（连接）。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

将 LDAP Authentication（基于推送的日志导出）旁边的按钮切换为 On（开）。

在 Configure Your LDAP Server（配置 LDAP 服务器）面板中为所有 LDAP 服务器输入服务器详细信息并绑定凭证。

您可以列出多个服务器，用逗号分隔。 不能使用不同的端口。

将用户添加到 DN 映射。

将用户添加到 DN 映射（类似于以下示例），以允许客户端在连接到 Atlas 数据库时提供其电子邮件地址而不是完整 DN：

[
   {
       "match": "(.+)",
       "substitution": "uid={0},ou=users,dc=<okta_instance_id>,dc=okta,dc=com"
   }
]

在 CA Root Certificate（CA 根证书）字段中输入证书颁发机构 (CA) 为 LDAP 服务器颁发的证书，中间用逗号隔开。

您可以提供自签名证书。

单击 Verify and Save（保存并关闭）。

等待 Atlas 部署更改。Atlas 使用 您提供的配置详细信息，验证集群是否可以连接到 LDAP 服务器、 使用 LDAP 服务器进行身份验证和查询 LDAP 服务器。

AtlasGoDatabase Access在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Database Access。

   显示数据库访问页面。

将 LDAP 用户添加到 Atlas。

将 Okta LDAP中托管的用户添加到 Atlas。

1. 单击 Add New Database User（添加新的数据库用户）。

2. 单击 LDAP User（连接）。

3. 执行以下操作之一：

   1. 如果您尚未输入 User to DN Mapping，请输入 LDAP 用户的完整标识名 (DN)。遵循此模板：

      uid=<user-name>,ou=users,dc=<okta-instance-id>,dc=okta,dc=com

      例如，如果 <user-name> 为 jane@example.com 并且 <okta-instance-id> 为 mdb-example，则用户的 DN 为：

      uid=jane@example.com,ou=users,dc=mdb-example,dc=okta,dc=com

   2. 如果您输入了User to DN Mapping ，请输入映射所需的用户名或电子邮件地址。

4. 选择要授予用户的数据库访问级别。

5. 单击 Add User（连接）。

创建 Okta 数据库访问群组。

Atlas LDAP 授权使用 LDAP 群组，确定用户是否有权执行数据库操作。

Create separate Okta groups for each level of access that you want to grant to users. 例如，为一个数据库的读取访问创建一个群组，为读写访问创建另一个群组，依此类推。

1. 单击Groups Directory，然后单击 ，导航到 OktaGroups 页面。

2. 单击 Add Group（连接）。

3. 输入群组名称，例如db-read 。

4. 单击 Add Group（连接）。

将 Okta 用户添加到数据库访问群组。

根据每个用户所需的访问级别，将用户分配到不同的组。

1. 单击要添加用户的群组。

2. 单击 Manage People（连接）。

3. 将用户添加到群组，然后单击Save 。

为绑定用户分配权限。

绑定用户必须具有Read Only Administrator权限，才能授权用户针对特定的 Okta 群组并执行 LDAP 搜索。为绑定用户分配Read Only Administrator权限：

1. 单击Administrators Security，然后单击 ，导航到 OktaAdministrators 页面。

2. 单击 Add Administrator（连接）。

3. 搜索绑定用户，然后选择Read Only Administrator角色。

4. 单击 Add Administrator（连接）。

AtlasGoDatabase Access在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Database Access。

   显示数据库访问页面。

将数据库访问 LDAP 群组添加到 Atlas。

将您创建的每个 Okta 数据库群组添加到 Atlas。 您添加的群组成员有权执行授予该群组的数据库操作。

1. 单击 Add New Database User（添加新的数据库用户）。

1. 点击 LDAP Group，然后输入包含数据库用户的组的完整标识名，即使启用了 User to DN Mapping 也要如此操作。遵循此模板：

   cn=<group-name>,ou=groups,dc=<okta-instance-id>,dc=okta,dc=com

   例如，如果<group-name>为db-read ， <okta-instance-id>为mdb-example ，则绑定用户的标识名为：

   cn=db-read,ou=groups,dc=mdb-example,dc=okta,dc=com

1. 选择要授予此群组中用户的数据库访问级别。

2. 单击 Add User（连接）。

AtlasGoAdvanced在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Advanced。

   显示“高级”页面。

将 LDAP Authorization（基于推送的日志导出）旁边的按钮切换为 On（开）。

在 Configure Your LDAP Server（配置 LDAP 服务器）面板中验证 LDAP 服务器的服务器详细信息和绑定凭证是否正确。

在 Query Template（查询模板）中输入查询模板。

当用户尝试执行操作时，Atlas 会执行 LDAP 查询模板，获取经验证的用户所属的 LDAP 群组。如果查询返回至少一个有权执行此操作的群组，则 Atlas 允许执行此操作。如果查询未返回有权执行此操作的群组，则 Atlas 不允许执行此操作。

在运行查询时，Atlas 会替换 {USER} 占位符中经验证的用户名。该查询与 Server Hostname 中指定的主机相关。

查询的格式必须符合 RFC4515 。

如果要识别用户所属的群组，可以使用以下Query Template ：

ou=groups,dc=<okta-instance-id>,dc=okta,dc=com?dn?sub?(&(objectClass=groupofUniqueNames)(uniqueMember={USER}))

单击 Verify and Save（保存并关闭）。

等待 Atlas 部署更改。Atlas 使用 您提供的配置详细信息，验证集群是否可以连接到 LDAP 服务器、 使用 LDAP 服务器进行身份验证和查询 LDAP 服务器。