通过 OIDC 设置 Workforce Identity Federation

为 Atlas 注册新的应用程序。

选择 public client/native application作为客户端类型。

将Redirect URL 值设置为http://localhost:27097/redirect 。

（有条件）如果使用群组进行身份验证，请添加或启用groups 声明。

对于群组，此步骤可确保您的访问令牌包含进行身份验证的用户的群组成员信息。 MongoDB 使用群组声明中发送的值进行授权。

（可选）如果希望 MongoDB 客户端刷新令牌以获得更好的用户体验， 则允许刷新令牌。

（可选）配置访问令牌生命周期（ exp声明）以与数据库连接会话时间保持一致。

注册应用程序。

1. 导航至 App registrations。

   1. 在 Azure门户 中 帐户，搜索并单击Microsoft Entra ID 。

   2. 在左侧导航栏的 Manage 部分，单击 App registrations。

2. 单击 New registration（连接）。

3. 应用以下值。

   字段	值
   Name	Atlas Database - Workforce
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - http://localhost:27097/redirect

4. 单击 Register（连接）。

要了解有关注册应用程序的更多信息，请参阅 Azure 文档。

添加一个群组声明。

1. 导航至 Token Configuration。

   在左侧导航栏的 Manage 部分，单击 Token Configuration。

2. 单击 Add groups claim（连接）。

3. 在 Edit groups claim 模式中，选择 Security。

   所选择的群组取决于您在 Azure 环境中配置的群组类型。 您可能需要选择不同类型的群组 来发送相应的群组信息。

4. 在Customize token properties by type部分中，仅选择Group ID 。

5. 单击 Add（连接）。

要了解有关添加群组声明的更多信息，请参阅 Azure 文档。

在访问令牌中添加用户标识符声明。

1. 单击 Add optional claim（连接）。

2. 在 Add optional claim 模式中，选择 Access。

3. 选择带有用户标识符的声明，您可以在 MongoDB 访问 日志（如电子邮件）中引用该标识符。

   您可以使用UPN声明通过电子邮件解决来识别用户。

4. 单击 Add（连接）。

5. 在 Microsoft Graph Permissions（Microsoft Graph 权限）注释中，选中复选框，然后单击 Add（添加）。

要了解详情，请参阅 Azure 文档。

更新清单。

1. 在左侧导航栏的 Manage 部分，单击 Manifest。

2. 将 accessTokenAcceptedVersion 从 null 更新为 2。

   数字 2 代表 Microsoft 访问令牌版本 2。其他应用程序可以将其用作 Active Directory 托管用户身份的签名证明。版本 2 确保令牌是 MongoDB 可理解的 JSON 网络令牌。

3. 单击 Save（连接）。

要了解有关添加可选声明的更多信息，请参阅 Azure 文档。

记住元数据。

1. 在左侧导航栏中单击 Overview。

   复制 Application (client) ID（应用程序（客户端）ID）值。

2. 在顶部导航栏中，单击 Endpoints。

   复制不带 /.well-known/openid-configuration 部分的 OpenID Connect metadata document 值。

   您还可以通过复制OpenID Connect metadata document URL中issuer的值来获取此值。

下表显示这些 Microsoft Entra ID 用户界面值在我们的 Atlas 配置属性中映射的内容：

Go联合管理控制台。

1. 导航至“组织设置”。

2. 单击Open Federation Management App 。

添加并验证域所有权。

您必须验证向IdP注册的域的所有权。 如果您已经在域中注册Atlas的 SAML SSO，则可以跳过此步骤。

1. 在左侧边栏中选择“域”。

2. 单击 Add Domain 按钮。

3. 在Display Name框中输入显示名称。

4. 在Domain Name框中输入域名。

5. 单击HTML File Upload或DNS Record按钮，选择验证您是否为域所有者的方法。

6. 如果您选择了HTML File Upload ，请下载提供的 HTML 文件并将其上传到您的域，以便可以通过https://<your-domain/mongodb-site-verification.html>访问该文件。

7. 如果您选择了DNS Record ，请复制提供的TXT Record ，并将其上传到您的域提供商。

8. 单击 Continue（连接）。

9. 最后，在Domains页面中，单击新添加的域的Verify按钮。

配置身份提供商。

1. 单击左侧边栏中的Identity Providers 。

2. 执行以下步骤之一：

   • 如果您尚未配置任何身份提供程序，单击 Setup Identity Provider（设置身份提供程序）。

   • 否则，在Identity Providers屏幕上单击Configure Identity Provider(s) 。

3. 选择 Workforce Identity Provider，然后单击 Continue。

4. 选择 OIDC for Data Access 。

输入以下劳动力身份提供商协议设置。

单击 Save and Finish（保存并关闭）。

将至少一个域与您的 Workforce IdP 关联。

1. 在“劳动力身份提供程序”卡中，单击Associate Domains 。

2. 在 Associate Domains with Identity Provider（将域与身份提供程序相关联）模式中，选择一个或多个域。

3. 单击 Submit（连接）。

在组织中启用劳动力身份提供程序。

1. 单击 Connect Organizations（连接）。

2. 对于要连接到 Workforce Identity Provider 的组织，请单击Configure Access 。

3. 单击 Connect Identity Provider（连接）。

   注意

   如果您配置了其他 IdP，则此按钮会显示 Connect Identity Provider(s)（连接身份提供程序）。

选择 Workforce Identity Federation for Data Access（Atlas SQL）。

在Connect Identity Provider(s)模式中，选择Purpose为Workforce Identity Federation的劳动力身份提供者。

单击 Connect（保存并关闭）。

当您将 Workforce Identity Provider 连接到组织时， Atlas会为该组织内的所有项目启用 Workforce Identity Provider。

AtlasGoDatabase Access在Atlas中，Go项目的 页面。

1. 如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含项目的组织。

2. 如果尚未显示，请从导航栏的 Projects 菜单中选择您的项目。

3. 在侧边栏中，单击 Security 标题下的 Database Access。

   显示数据库访问页面。

打开 Add New Database User or Group（添加新的数据库用户）对话框。

单击 Add New Database User or Group（添加新的数据库用户）。

选择 Federated Auth（Atlas SQL）。

在 Authentication Method 部分，选择 Federated Auth。

选择身份提供程序和标识符

a. 在Select Identity Provider部分中，选择已配置的OIDC身份提供程序。

1. 指定与您配置的 Workforce 身份提供程序关联的用户标识符或群组标识符。

分配用户或群组权限。

要向新用户或群组分配权限，请执行以下一项或多项任务：

• 从 Built-in Role 下拉菜单中，选择一个内置角色。

  • 您可以在 Atlas 用户界面中为每个数据库组选择一个内置角色。

  • 如果删除默认选项，则可以单击Add Built-in Role选择新的内置角色。

• 选择或添加自定义角色。

  • 如果您定义了任何自定义角色，则可以展开Custom Roles部分，然后从Custom Roles下拉菜单中选择一个或多个角色。

  • 单击Add Custom Role以添加更多自定义角色。

  • 单击Custom Roles链接可查看项目的自定义角色。

• 添加权限。

  • 展开Specific Privileges部分，然后从Specific Privileges下拉菜单中选择一个或多个权限。

  • 单击Add Specific Privilege可添加更多权限。 这将为群组分配对各个数据库和集合的特定权限。

• 删除已应用的角色或特权。

  • 单击Delete旁边

    要删除的角色或特权。

  注意

  如果只选择了一个选项，Atlas 不会在 Built-in Role（内置角色）、Custom Role（自定义角色）或 Specific Privilege（特定权限）选项旁边显示 Delete（删除）图标。应用了其他角色或权限后，就可以删除选定的角色或权限。

Atlas 可以将一个内置角色、多个自定义角色和多个特定权限应用到 数据库群组。

要了解有关授权的更多信息，请参阅 MongoDB 手册中的基于角色的访问控制和内置角色。

指定用户或群组可以访问的项目资源。

默认情况下，群组可以访问项目中的所有集群和联合数据库实例。 要限制对特定集群和联合数据库实例的访问，请执行以下操作：

1. 将 Restrict Access to Specific Clusters/Federated Database Instances 切换到 On。

2. 从 Grant Access To（向其授予访问权限）列表中选择要向该群组授予其访问权限的集群和联合数据库实例。

另存为临时用户或群组。

将Temporary User或Temporary Group切换为On ，然后选择一个时间，在此时间之后 Atlas 可以从Temporary User Duration或Temporary Group Duration下拉列表中删除用户或群组。 您可以选择以下时间段之一作为群组的存在时间：

• 6 小时

• 1 天

• 1 周

在Database Users标签页中，临时用户或临时群组会显示 Atlas 删除这些用户或群组之前的剩余时间。 Atlas 删除用户或群组后，使用临时用户或群组档案的任何客户端或应用程序都将失去对集群的访问权限。

添加新的数据库用户或群组。

执行以下步骤之一：

• 如果已添加用户，请单击Add User按钮。

• 如果已添加群组，请单击Add Group按钮。

更新 Workforce 身份提供商中的签名密钥。

在 Atlas 中，转到 Organization Settings（项目设置）页面。

1. 如果尚未显示，组织从导航栏中的Organizations菜单。

2. 单击 Organizations 菜单旁边的 Organization Settings 图标。

   显示“组织设置”页面。

导航到联合管理应用。

在 Setup Federated Login 或 Manage Federation Settings 部分，单击 Visit Federation Management App。

Identity Providers单击左侧边栏中的 。

滚动到“劳动力身份提供商”卡。

单击 Revoke（创建集合）按钮。

单击Revoke后，MongoDB 将通过 JWKS 端点获取新密钥。 撤销 JWKS 后，您必须重新启动客户端（例如mongosh或Compass ）。

在 Atlas 中，转到 Organization Settings（项目设置）页面。

1. 如果尚未显示，组织从导航栏中的Organizations菜单。

2. 单击 Organizations 菜单旁边的 Organization Settings 图标。

   显示“组织设置”页面。

导航到联合管理应用。

在 Setup Federated Login 或 Manage Federation Settings 部分，单击 Visit Federation Management App。

断开连接到劳动力身份提供程序的每个组织。

1. 单击左侧边栏中的Organizations 。

2. 单击已启用 Workforce Identity Federation 的组织。

3. 单击 Workforce Identity Federation 卡上Manage下拉菜单下的Disconnect 。

4. 在 Disconnect identity provider? 模式中，单击 Disconnect。

   当您断开IdP的连接时，使用IdP进行身份验证的用户将访问权限Project表中列出的Atlas项目中的 Workforce Identity Federation。

Identity Providers单击左侧边栏中的 。

在“劳动力身份提供程序”卡中，单击Delete 。

在 Delete Identity Provider? 模式中，单击 Delete。