Configurar la autenticación federada usando el Atlas Kubernetes Operator

Atlas UI Access (SAML)

El acceso a Atlas (o acceso a la Interfaz de Usuario) permite a los propietarios de la organización otorgar automáticamente roles de Atlas a los usuarios de la organización una vez que se autentican, según sus roles en un proveedor de identidad, como Microsoft Entra ID o Google Workspace.

Una vez que haya creado un proveedor de identidad de acceso a la Interfaz de Usuario y lo haya asociado a su organización, puede configurarlo utilizando el Atlas Kubernetes Operator.

Este ejemplo realiza lo siguiente:

• Permite la autenticación federada para la organización vinculada al secreto especificado.

• Agrega my-org-domain.com como dominio aprobado.

• Activa la restricción de dominio para la organización.

• Deshabilita la depuración para SSO.

• Concede el Organization Member rol a los usuarios después de autenticarse.

• Asigna el rol Organization Owner para la organización y aplica la asignación de roles a un grupo de proveedor de identidad denominado org-admin.

• Asigna los roles Organization Project Creator y Project Owner para un Proyecto en la organización denominada dev-project y aplica la asignación de rol a un grupo de proveedor de identidad denominado dev-team.

Ejemplo:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system
  domainAllowList:
    - my-org-domain.com
  domainRestrictionEnabled: true
  ssoDebugEnabled: false
  postAuthRoleGrants:
    - ORG_MEMBER
  roleMappings:
    - externalGroupName: org-admin
      roleAssignments:
        - role: ORG_OWNER
    - externalGroupName: dev-team
      roleAssignments:
        - role: ORG_GROUP_CREATOR
        - projectName: dev-project
          role: GROUP_OWNER
EOF

Se puede encontrar información adicional sobre la configuración del recurso AtlasFederatedAuth en el AtlasFederatedAuth recurso personalizado.

Acceso a Atlas clúster (OIDC/OAuth 2.0)

El acceso al clúster permite a los propietarios de la organización utilizar proveedores de identidad (usando OIDC u OAuth 2.0) para proporcionar acceso a los datos de un clúster de base de datos en Atlas basándose en roles en el IdP. Esta funcionalidad puede diferenciarse aún más dependiendo si el acceso se otorga a un usuario humano o a una aplicación:

• La carga de trabajo es para aplicaciones; lo que permite que las aplicaciones externas se autentiquen a través de identidades programáticas, como entidades de servicio en Azure o cuentas de servicio en Google Cloud Platform, mediante OAuth 2.0.

• Workforce es para usuarios; permite la autenticación y autorización a la base de datos a través de un proveedor de identidad (IdP) externo, como Microsoft Entra ID u Okta, utilizando OIDC.

Para habilitar el acceso al clúster de Atlas a través de AKO, agregue el ID del proveedor de identidad al campo dataAccessIdentityProviderIds en el recurso AtlasFederatedAuth.

apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  dataAccessIdentityProviders:
    - 32b6e34b3d91647abb20e7b8
    - 42d8v92k5a34184rnv93f0c1
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system

Se puede encontrar información adicional sobre la configuración del recurso AtlasFederatedAuth en el AtlasFederatedAuth recurso personalizado.

La autenticación permite el uso del proveedor de identidad dentro de la organización, y ahora se puede conceder acceso al clúster mediante este proveedor de identidad en el AtlasDatabaseUser, mediante la configuración de oidcAuthType y el establecimiento del ID y el nombre adecuados en el campo username.

• Para el acceso a la Fuerza Laboral, configura el campo oidcAuthType en USER, el campo databaseName en admin y el campo username en <Atlas IdP ID>/IdP Username.

• Para el acceso a la carga de trabajo, establece el campo oidcAuthType como IDP_GROUP, el campo databaseName como $external, y el campo username como <Atlas IdP ID>/IdP Group Name.

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workload-user
  namespace: mongodb-atlas-system
spec:
  databaseName: $external
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-group-name
  oidcAuthType: IDP_GROUP

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workforce-user
  namespace: mongodb-atlas-system
spec:
  databaseName: admin
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-user-name
  oidcAuthType: USER

Se puede encontrar información adicional sobre la configuración del recurso AtlasDatabaseUser en el AtlasDatabaseUser recurso personalizado.