使用 OAuth 设置 Workload Identity Federation 2.0

注册应用程序。

1. 导航至 App registrations 。

   1. 在 Azure门户 中 帐户，搜索并单击Microsoft Entra ID 。

   2. 在左侧导航栏的 Manage 部分，单击 App registrations。

2. 单击 New registration（连接）。

3. 应用以下值。

   字段	值
   Name	Cloud Manager Database - Workload
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	Web

（可选）添加群组声明。

在Cloud Manager中定义访问权限权限时，最佳实践是使用服务主体标识符作为MongoDB用户标识符。 如果您计划使用这种常用方法，请跳过此步骤。 但是，如果您更愿意使用群组标识符（例如Microsoft Entra ID安全群组标识符），则可以通过以下步骤在应用程序注册中设立群组声明。

1. 导航至 Token Configuration。

   在左侧导航栏的 Manage 部分，单击 Token Configuration。

2. 单击 Add groups claim（连接）。

3. 在 Edit groups claim 模式中，选择 Security。

   所选择的群组取决于您在 Azure 环境中配置的群组类型。 您可能需要选择不同类型的群组 来发送相应的群组信息。

4. 在 Customize token properties by type（按类型自定义令牌属性）部分，确保仅选择Group ID（群组 ID）。

   当您选择 Group Id 时，Azure 将发送安全组的对象 ID。

5. 单击 Add（连接）。

   要了解有关添加群组声明的更多信息，请参阅 Azure 文档。

启用应用程序ID URI。

1. 导航到左侧边栏中的Expose an API ，然后启用应用程序ID URI。

2. 启用应用程序ID URI。

   1. 保留Azure分配的默认应用程序ID URI，即 <application_client_id>。复制并存储此值，因为Cloud Manager和所有MongoDB驱动程序都需要此值来进行 Workload Identity Federation 配置。

更新清单。

1. 在左侧导航栏的 Manage 部分，单击 Manifest。

2. 将 accessTokenAcceptedVersion 从 null 更新为 2。

   数字 2 代表 Microsoft 访问令牌版本 2。其他应用程序可以将其用作 Active Directory 托管用户身份的签名证明。版本 2 确保令牌是 MongoDB 可理解的 JSON 网络令牌。

3. 单击 Save（连接）。

要了解有关添加可选声明的更多信息，请参阅 Azure 文档。

记住元数据。

1. 在左侧导航栏中单击 Overview。

2. 在顶部导航栏中，单击 Endpoints。

   复制不带 /.well-known/openid-configuration 部分的 OpenID Connect metadata document 值。

   您也可以通过访问 OpenID Connect metadata document（OpenID Connect 元数据文档）URL 并复制 issuer 的值来检索该值。

下表显示了这些Microsoft Entra ID用户界面值映射到的Cloud Manager配置属性。

Security Settings导航至部署的 对话框。

1. Organizations从导航栏的 菜单中选择包含您的项目的组织。

2. 从导航栏的 Projects（项目）菜单中选择项目。

3. 单击侧边栏中的 Deployment（支持）。

4. 单击 Security 标签页。

5. 单击 Settings 标签页。

6. 执行以下操作之一：

   • 如果这是您第一次为此项目配置 TLS、身份验证或授权设置，请单击 Get Started（开始使用）。

   • 如果已经为此项目配置 TLS 身份验证或授权设置，请单击 Edit（编辑）。

可选：指定 TLS 设置。

选择身份验证机制。

在 MongoDB Deployment Authentication Mechanism 部分，选择 Federated Auth (OIDC)。

创建新的 OIDC IdP 配置。

1. 在 OIDC Connection and Authorization (Required for OIDC) 部分中，单击 + OIDC IdP Configuration。

2. 在 OIDC Protocol Settings 对话框中，选择 Workload Identity Federation。

输入以下设置。

单击Save Configuration 。

Cloud Manager会保存配置并在 OIDC Connection and Authorization (Required for OIDC) 部分中列出。

单击Save Settings 。

单击Review & Deploy 查看更改。

单击Confirm & Deploy 以部署更改。

否则，请单击 Cancel，您可以进行其他更改。

Security Settings导航至部署的 对话框。

1. Organizations从导航栏的 菜单中选择包含您的项目的组织。

2. 从导航栏的 Projects（项目）菜单中选择项目。

3. 单击侧边栏中的 Deployment（支持）。

4. 单击 Security 标签页。

5. 单击 Settings 标签页。

6. 执行以下操作之一：

   • 如果这是您第一次为此项目配置 TLS、身份验证或授权设置，请单击 Get Started（开始使用）。

   • 如果已经为此项目配置 TLS 身份验证或授权设置，请单击 Edit（编辑）。

可选：指定 TLS 设置。

选择身份验证机制。

在 MongoDB Deployment Authentication Mechanism 部分，选择 Federated Auth (OIDC)。

创建新的 OIDC IdP 配置。

1. 在 OIDC Connection and Authorization (Required for OIDC) 部分中，单击 + OIDC IdP Configuration。

2. 在 OIDC Protocol Settings 对话框中，选择 Workload Identity Federation。

输入以下设置。

单击Save Configuration 。

Cloud Manager会保存配置并在 OIDC Connection and Authorization (Required for OIDC) 部分中列出。

单击Save Settings 。

单击Review & Deploy 查看更改。

单击Confirm & Deploy 以部署更改。

否则，请单击 Cancel，您可以进行其他更改。

导航至MongoDB Users 标签页进行部署。

1. Organizations从导航栏的 菜单中选择包含您的项目的组织。

2. 从导航栏的 Projects（项目）菜单中选择项目。

3. 单击侧边栏中的 Deployment（支持）。

4. 单击 Security 标签页。

5. 单击 MongoDB Users 标签页。

单击Add New User 。

添加 OIDC 用户。

1. 填写用户帐户字段：

   字段	说明
   Identifier	在第一个字段，输入 $external数据库。 在第二个字段，输入使用用户名 IdP 配置名称的用户名和配置中的用户主体声明，用斜杠/ 分隔： {configuration_name}/{user_principal_claim}
   Roles	在此框中输入任何可用的用户定义角色和内置角色。 单击该组合框会提供现有角色的列表。
   Authentication Restrictions	单击 Add Entry（连接）。 在Client Source 或 框中添加一个或多个IP地址和/或 CIDRServer Address 块。用逗号分隔多个地址或区块。 Client Source 限制此用户可以进行身份验证并使用给定角色的地址。 Server Address 限制该用户可以进行身份验证的地址并具有给定的角色。 单击 Save（连接）。 要添加其他条目，请单击Add Entry 。

2. 单击 Add User（连接）。

单击Review & Deploy 查看更改。

单击Confirm & Deploy 以部署更改。

否则，请单击 Cancel，您可以进行其他更改。

导航至MongoDB Roles 标签页进行部署。

1. Organizations从导航栏的 菜单中选择包含您的项目的组织。

2. 从导航栏的 Projects（项目）菜单中选择项目。

3. 单击侧边栏中的 Deployment（支持）。

4. 单击 Security 标签页。

5. 单击 MongoDB Roles 标签页。

单击Add New Role 。

创建 OIDC 角色。

1. 输入以下字段：

   字段	必要性	说明
   Identifier	必需	在Database框中，输入admin 。 在Name 框中，输入您的 OIDC IdP 配置名称和来自外部身份提供商的群组名称，并用斜杠分隔/ ： {configuration_name}/{group_name}
   Inherits From	Optional	角色名称和数据库对的列表。 这些对的格式为roleName@dbName 。
   Authentication Restrictions	Optional	您想要限制来自IdP的 IP 地址或 CIDR 符号列表。
   Privilege Actions by Resource	Optional	允许对资源执行的操作。 要学习；了解更多信息，请参阅特权操作。

2. 单击 Add Role（连接）。