通过 OIDC 设置 Workforce Identity Federation

为 Cloud Manager 注册新应用程序。

选择 public client/native application作为客户端类型。

将Redirect URL 值设置为http://localhost:27097/redirect 。

（有条件）如果使用群组进行身份验证，请添加或启用groups 声明。

对于群组，此步骤可确保您的访问令牌包含进行身份验证的用户的群组成员信息。 MongoDB 使用群组声明中发送的值进行授权。

（可选）如果希望 MongoDB 客户端刷新令牌以获得更好的用户体验， 则允许刷新令牌。

（可选）配置访问令牌生命周期（ exp声明）以与数据库连接会话时间保持一致。

注册应用程序。

1. 导航至 App registrations。

   1. 在 Azure门户 中 帐户，搜索并单击Microsoft Entra ID 。

   2. 在左侧导航栏的 Manage 部分，单击 App registrations。

2. 单击 New registration（连接）。

3. 应用以下值。

   字段	值
   Name	Cloud Manager Database - Workforce
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - http://localhost:27097/redirect

4. 单击 Register（连接）。

要了解有关注册应用程序的更多信息，请参阅 Azure 文档。

添加一个群组声明。

1. 导航至 Token Configuration。

   在左侧导航栏的 Manage 部分，单击 Token Configuration。

2. 单击 Add groups claim（连接）。

3. 在 Edit groups claim 模式中，选择 Security。

   所选择的群组取决于您在 Azure 环境中配置的群组类型。 您可能需要选择不同类型的群组 来发送相应的群组信息。

4. 在Customize token properties by type部分中，仅选择Group ID 。

5. 单击 Add（连接）。

要了解有关添加群组声明的更多信息，请参阅 Azure 文档。

在访问令牌中添加用户标识符声明。

1. 单击 Add optional claim（连接）。

2. 在 Add optional claim 模式中，选择 Access。

3. 选择带有用户标识符的声明，您可以在 MongoDB 访问 日志（如电子邮件）中引用该标识符。

   您可以使用UPN声明通过电子邮件解决来识别用户。

4. 单击 Add（连接）。

5. 在 Microsoft Graph Permissions（Microsoft Graph 权限）注释中，选中复选框，然后单击 Add（添加）。

要了解详情，请参阅 Azure 文档。

更新清单。

1. 在左侧导航栏的 Manage 部分，单击 Manifest。

2. 将 accessTokenAcceptedVersion 从 null 更新为 2。

   数字 2 代表 Microsoft 访问令牌版本 2。其他应用程序可以将其用作 Active Directory 托管用户身份的签名证明。版本 2 确保令牌是 MongoDB 可理解的 JSON 网络令牌。

3. 单击 Save（连接）。

要了解有关添加可选声明的更多信息，请参阅 Azure 文档。

记住元数据。

1. 在左侧导航栏中单击 Overview。

   复制 Application (client) ID（应用程序（客户端）ID）值。

2. 在顶部导航栏中，单击 Endpoints。

   复制不带 /.well-known/openid-configuration 部分的 OpenID Connect metadata document 值。

   您还可以通过复制OpenID Connect metadata document URL中issuer的值来获取此值。

下表显示了这些Microsoft Entra ID用户界面值在MongoDB Atlas配置属性中的映射：

导航至MongoDB Roles 标签页进行部署。

1. Organizations从导航栏的 菜单中选择包含您的项目的组织。

2. 从导航栏的 Projects（项目）菜单中选择项目。

3. 单击侧边栏中的 Deployment（支持）。

4. 单击 Security 标签页。

5. 单击 MongoDB Roles 标签页。

单击 Add New Role（保存并关闭）。

创建 OIDC 角色。

1. 输入以下字段：

   字段	必要性	说明
   Identifier	必需	在Database框中，输入admin 。 在Name 框中，输入您的 OIDC IdP 配置名称和来自外部身份提供商的群组名称，并用斜杠分隔/ ： {configuration_name}/{group_name}
   Inherits From	Optional	角色名称和数据库对的列表。 这些对的格式为roleName@dbName 。
   Authentication Restrictions	Optional	您想要限制来自IdP的 IP 地址或 CIDR 符号列表。
   Privilege Actions by Resource	Optional	允许对资源执行的操作。 要学习；了解更多信息，请参阅特权操作。

2. 单击 Add Role（连接）。

导航至MongoDB Users 标签页进行部署。

1. Organizations从导航栏的 菜单中选择包含您的项目的组织。

2. 从导航栏的 Projects（项目）菜单中选择项目。

3. 单击侧边栏中的 Deployment（支持）。

4. 单击 Security 标签页。

5. 单击 MongoDB Users 标签页。

单击 Add New User（保存并关闭）。

添加 OIDC 用户。

1. 填写用户帐户字段：

   字段	说明
   Identifier	在第一个字段，输入 $external数据库。 在第二个字段，输入使用用户名 IdP 配置名称的用户名和配置中的用户主体声明，用斜杠/ 分隔： {configuration_name}/{user_principal_claim}
   Roles	在此框中输入任何可用的用户定义角色和内置角色。 单击该组合框会提供现有角色的列表。
   Authentication Restrictions	单击 Add Entry（连接）。 在Client Source 或 框中添加一个或多个IP地址和/或 CIDRServer Address 块。用逗号分隔多个地址或区块。 Client Source 限制此用户可以进行身份验证并使用给定角色的地址。 Server Address 限制该用户可以进行身份验证的地址并具有给定的角色。 单击 Save（连接）。 要添加其他条目，请单击Add Entry 。

2. 单击 Add User（连接）。

单击Review & Deploy 查看更改。

单击Confirm & Deploy 以部署更改。

否则，请单击 Cancel，您可以进行其他更改。