Configurar la autenticación federada para Atlas

Atlas UI Access (SAML)

El acceso a Atlas (o acceso a la Interfaz de Usuario) permite a los propietarios de la organización otorgar automáticamente roles de Atlas a los usuarios de la organización una vez que se autentican, según sus roles en un proveedor de identidad, como Microsoft Entra ID o Google Workspace.

Una vez que haya creado un proveedor de identidad de acceso a la Interfaz de Usuario y lo haya asociado a su organización, puede configurarlo utilizando el Atlas Kubernetes Operator.

Este ejemplo realiza lo siguiente:

• Permite la autenticación federada para la organización vinculada al secreto especificado.

• Agrega my-org-domain.com como dominio aprobado.

• Activa la restricción de dominio para la organización.

• Deshabilita la depuración para SSO.

• Otorga el rol de Organization Member a los usuarios tras autenticarse.

• Asigna el rol Organization Owner a la organización y aplica la asignación de roles a un grupo IdP llamado org-admin.

• Asigna los roles Organization Project Creator y Project Owner para un proyecto en la organización llamada dev-project y aplica la asignación de roles a un grupo IdP llamado dev-team.

Ejemplo:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system
  domainAllowList:
    - my-org-domain.com
  domainRestrictionEnabled: true
  ssoDebugEnabled: false
  postAuthRoleGrants:
    - ORG_MEMBER
  roleMappings:
    - externalGroupName: org-admin
      roleAssignments:
        - role: ORG_OWNER
    - externalGroupName: dev-team
      roleAssignments:
        - role: ORG_GROUP_CREATOR
        - projectName: dev-project
          role: GROUP_OWNER
EOF

Se puede encontrar información adicional sobre la configuración del recurso AtlasFederatedAuth en el AtlasFederatedAuth recurso personalizado.

Acceso a Atlas clúster (OIDC/OAuth 2.0)

El acceso a clústeres permite a los propietarios de organizaciones usar proveedores de identidad (mediante OIDC u OAuth 2.0) para proporcionar acceso a datos a un clúster de bases de datos en Atlas según los roles definidos en el IdP. Esta función se puede diferenciar aún más según si el acceso se otorga a un usuario humano o a una aplicación.

• La carga de trabajo es para aplicaciones; permitiendo que las aplicaciones externas se autentiquen a través de identidades programáticas, como entidades de servicio en Azure o cuentas de servicio en Google Cloud, utilizando OAuth 2.0.

• Workforce está diseñado para los usuarios; permite la autenticación y autorización de la base de datos a través de un proveedor de identidad externo, como Microsoft Entra ID u Okta, utilizando OIDC.

Para habilitar el acceso al clúster de Atlas a través de AKO, agregue el ID del IdP al campo dataAccessIdentityProviderIds en el recurso AtlasFederatedAuth.

apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  dataAccessIdentityProviders:
    - 32b6e34b3d91647abb20e7b8
    - 42d8v92k5a34184rnv93f0c1
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system

Se puede encontrar información adicional sobre la configuración del recurso AtlasFederatedAuth en el AtlasFederatedAuth recurso personalizado.

La autenticación permite que el IdP se utilice dentro de la organización, y ahora se puede otorgar acceso al clúster utilizando este IdP en AtlasDatabaseUser, configurando oidcAuthType y estableciendo el ID y el nombre apropiados en el campo username.

• Para el acceso a la Fuerza Laboral, configura el campo oidcAuthType en USER, el campo databaseName en admin y el campo username en <Atlas IdP ID>/IdP Username.

• Para el acceso a la carga de trabajo, establece el campo oidcAuthType como IDP_GROUP, el campo databaseName como $external, y el campo username como <Atlas IdP ID>/IdP Group Name.

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workload-user
  namespace: mongodb-atlas-system
spec:
  databaseName: $external
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-group-name
  oidcAuthType: IDP_GROUP

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workforce-user
  namespace: mongodb-atlas-system
spec:
  databaseName: admin
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-user-name
  oidcAuthType: USER

Se puede encontrar información adicional sobre la configuración del recurso AtlasDatabaseUser en el AtlasDatabaseUser recurso personalizado.