为 Ops Manager 项目启用 OIDC 身份验证

注册应用程序。

1. 导航至 App registrations。

2. 在Azure 门户 中 帐户、 ，然后单击Atlas Search Azure Active Directory。

3. 在左侧导航栏的 Manage 部分，单击 App registrations。

4. 单击 New registration（连接）。

5. 应用以下值。

   字段	值
   Name	OM Database - OIDC
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - http://localhost:27097/redirect

6. 单击 Register（连接）。

要了解有关注册应用程序的更多信息，请参阅 Azure 文档。

添加一个群组声明。

1. 导航至 Token Configuration。

   在左侧导航栏的 Manage 部分，单击 Token Configuration。

2. 单击 Add groups claim（连接）。

3. 在 Edit groups claim 模式中，选择 Security。

   所选择的群组取决于您在 Azure 环境中配置的群组类型。 您可能需要选择不同类型的群组 来发送相应的群组信息。

4. 在 Customize token properties by type（按类型自定义令牌属性）部分，确保仅选择Group ID（群组 ID）。

   当您选择 Group Id 时，Azure 将发送安全组的对象 ID。

5. 单击 Add（连接）。

要了解有关添加群组声明的更多信息，请参阅 Azure 文档。

在访问令牌中添加用户标识符声明。

1. 单击 Add optional claim（连接）。

2. 在 Add optional claim 模式中，选择 Access。

3. 选择带有用户标识符的声明，您可以在 MongoDB 访问 日志（如电子邮件）中引用该标识符。

4. 单击 Add（连接）。

5. 在 Microsoft Graph Permissions（Microsoft Graph 权限）注释中，选中复选框，然后单击 Add（添加）。

要了解详情，请参阅 Azure 文档。

更新清单。

1. 在左侧导航栏的 Manage 部分，单击 Manifest。

2. 将 accessTokenAcceptedVersion 从 null 更新为 2。

   数字 2 代表 Microsoft 访问令牌版本 2。其他应用程序可以将其用作 Active Directory 托管用户身份的签名证明。版本 2 确保令牌是 MongoDB 可理解的 JSON 网络令牌。

3. 单击 Save（连接）。

要了解有关添加可选声明的更多信息，请参阅 Azure 文档。

记住元数据。

1. 在左侧导航栏中单击 Overview。

   复制 Application (client) ID（应用程序（客户端）ID）值。

2. 在顶部导航栏中，单击 Endpoints。

   复制不带 /.well-known/openid-configuration 部分的 OpenID Connect metadata document 值。

   您也可以通过访问 OpenID Connect metadata document（OpenID Connect 元数据文档）URL 并复制 issuer 的值来检索该值。

下表显示了这些Azure AD用户界面值在 Ops Manager 配置属性中的映射内容：

Security Settings导航至部署的 对话框。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 如果尚未出现，请单击侧边栏中的 Deployment（部署）。

1. 单击 Security 标签页。

2. 单击 Settings 标签页。

3. 执行以下操作之一：

   • 如果这是您第一次为此项目配置 TLS、身份验证或授权设置，请单击 Get Started（开始使用）。

   • 如果已经为此项目配置 TLS 身份验证或授权设置，请单击 Edit（编辑）。

可选：指定 TLS 设置。

与Federated Auth (OIDC)身份验证一起使用不需要 TLS。

选择身份验证机制。

在 MongoDB Deployment Authentication Mechanism 部分，选择 Federated Auth (OIDC)。

配置 OIDC 授权设置。

提供以下值：

单击Save Settings 。

单击Review & Deploy 查看更改。

单击Confirm & Deploy 以部署更改。

否则，请单击 Cancel，您可以进行其他更改。

MongoDB Roles导航到部署的 标签页。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 如果尚未出现，请单击侧边栏中的 Deployment（部署）。

4. 单击 Security 标签页。

5. 单击 MongoDB Roles 标签页。

单击Add New Role 。

创建 OIDC 角色。

1. 输入以下字段：

   字段	必要性	说明
   Identifier	必需	在database框中，输入admin 。 在name框中，输入您的projectId和IdP提供的群组名称，用斜线分隔/ ： {projectId}/{group_name}
   Inherits From	Optional	角色名称和数据库对的列表。 这些对的格式为roleName@dbName 。
   Authentication Restrictions	Optional	您想要限制来自IdP的 IP 地址或 CIDR 符号列表。

2. 单击 Add Role（连接）。

Security Settings导航至部署的 对话框。

1. 如果尚未显示，请从导航栏的 Organizations 菜单中选择包含所需项目的组织。

2. 如果尚未显示该页，请从导航栏的 Projects（项目）菜单中选择所需的项目。

3. 如果尚未出现，请单击侧边栏中的 Deployment（部署）。

4. 单击 Security 标签页。

5. 单击 Settings 标签页。

撤销您的 JWKS 令牌。

1. 滚动到OIDC Connection and Authorization (Required for OIDC)部分。

2. 单击 REVOKE JWKS 按钮。

   注意

   如果未配置IdP ，则此按钮处于空闲状态。

3. 在 Revoke JWKS tokens? 模式中，单击 Revoke。