Configura la autenticación y la autorización con los servicios de dominio de Entra

Configura los Servicios de Dominio de Microsoft Entra ID para tu dominio.

Para configurar Microsoft Entra ID Domain Services, siga el tutorial Crear un dominio administrado avanzado en la documentación de Azure utilizando la opción de nombre DNS Custom domain names.

Cuando configuras tu dominio gestionado, asegúrate de anotar el valor que ingresas en el campo DNS domain name. Este valor es su <managed-domain>. Debes proporcionarlo en varios lugares de este tutorial.

Obtén un certificado SSL para LDAP seguro.

Los servicios de dominio Entra ID de Microsoft utilizan certificados SSL para proteger LDAP. Su certificado debe cumplir con los requisitos descritos en la documentación de Azure.

Para obtener un certificado, puedes:

• Obtenga uno de la autoridad de certificación (CA) pública o empresarial que utiliza su organización.

  • Debe obtener un certificado de comodín para asegurar que LDAP seguro funcione correctamente con los Servicios de dominio de Microsoft Entra ID.

  • El nombre del sujeto del certificado debe coincidir con el <managed-domain> que usaste cuando configuraste Microsoft Entra ID Domain Services.

    Ejemplo

    *.aadds.example.com

• Genera un certificado autofirmado. No se recomiendan certificados autofirmados para producción.

Para generar un certificado autofirmado en sistemas MacOS o Linux con fines de prueba:

brew install openssl

1. Genera una llave privada con openssl. El siguiente comando genera un archivo de clave privada llamado <your-key-name>.key:

   openssl genrsa -out <your-key-name>.key 2048

2. Edita la siguiente plantilla de archivo de configuración. Actualiza los atributos en la sección [dn-param] con valores relacionados con tu organización. Asegúrate de que el nombre del sujeto (CN) coincida con la siguiente plantilla: *.<managed-domain>

   Ejemplo

   *.aadds.example.com

   # openssl x509 extfile params
   extensions = extend
   [req] # openssl req params
   prompt = no
   distinguished_name = dn-param
   [dn-param] # DN fields
   C = US
   ST = NY
   L  = New York
   O = MongoDB
   OU = Atlas
   CN = *.aadds.example.com
   [extend] # openssl extensions
   subjectKeyIdentifier = hash
   authorityKeyIdentifier = keyid:always
   keyUsage = digitalSignature,keyEncipherment,keyCertSign
   extendedKeyUsage=serverAuth,clientAuth

3. Guarde el archivo como <your-config-name>.cfg.

4. Genere una solicitud de firma de certificado utilizando los archivos clave y de configuración que creó. El siguiente comando genera una solicitud de firma de certificado llamada <your-csr-name>.csr:

   openssl req -new -key <your-key-name>.key \
   -out <your-csr-name>.csr -config <your-config-name>.cfg \
   -extensions extend

5. Genera un certificado autofirmado usando los archivos de clave, configuración y solicitud de firma de certificado que creaste. El siguiente comando genera un archivo de certificado autofirmado nombrado <your-cert-name>.crt:

   openssl x509 -req -sha256 -days 365 -in <your-csr-name>.csr \
   -signkey <your-key-name>.key -out <your-cert-name>.crt \
   -extfile <your-config-name>.cfg

Para generar un certificado autofirmado en un sistema Windows con fines de prueba, consulta la documentación de Azure.

Obtén un certificado SSL que incluya tu clave privada.

Microsoft Entra ID Domain Services utiliza llaves privadas para descifrar el tráfico LDAP seguro. Los certificados que incluyen llaves privadas utilizan el formato PKCS#12 y utilizan el formato de archivo .pfx. Se debe cargar un certificado de este formato en Microsoft Entra ID Domain Services para descifrar el tráfico LDAP seguro enviado a través de la Internet pública.

Para generar un certificado .pfx en sistemas MacOS o Linux:

1. Guarde su clave pública y su certificado SSL en su máquina local.

   Nota

   Tu certificado debe usar el formato PEM.

   Si su certificado no contiene la clave privada, puede guardarla en un archivo con formato .key.

2. Genere un certificado .pfx usando su clave privada y su certificado con openssl. El siguiente comando genera un archivo de certificado .pfx llamado <your-cert-name>.pfx:

   openssl pkcs12 -export -out <your-cert-name>.pfx \
   -inkey <your-key-name>.key -in <your-cert-name>.crt

   Cuando se le solicite, introduzca y verifique una contraseña para cifrar el archivo. Deberá introducir esta contraseña para descifrar su clave privada cuando cargue el certificado .pfx a los Servicios de dominio de Microsoft Entra ID.

Para generar un certificado .pfx en un sistema Windows, consulta la documentación de Azure.

Habilitar LDAP seguro en los Servicios de Dominio de Microsoft Entra ID.

Para habilitar LDAP seguro en Microsoft Entra ID Domain Services, consulte la Documentación de Azure.

Configura tu proveedor de DNS.

Debes configurar tu proveedor de DNS para que Atlas y los nodos de la base de datos puedan conectarse al servidor LDAP en el dominio personalizado que gestiona Microsoft Entra ID Domain Services.

Cree un registro de host para el tráfico LDAP que resuelva un subdominio de su <managed-domain> a la dirección IP externa que usa el servicio LDAP de Microsoft Entra ID Domain Services:

Para encontrar la dirección IP externa que utiliza el servicio LDAP de Microsoft Entra ID Domain Services, consulta la documentación de Azure.

Agrega tu dominio personalizado a Microsoft Entra ID.

Agrega tu nombre de dominio personalizado a Microsoft Entra ID para crear usuarios que pertenezcan a tu dominio. Después de agregar tu dominio, también debes agregar la información de DNS de Microsoft Entra ID en un registro TXT con tu proveedor de DNS y verificar la configuración.

Para agregar el dominio personalizado a Microsoft Entra ID, se puede consultar la documentación de Azure.

Configurar los servicios de dominio de Microsoft Entra ID para el tráfico LDAP entrante.

Debe permitir todo el tráfico a través de todos los puertos desde Internet público al puerto 636 para utilizar Microsoft Entra ID Domain Services como proveedor LDAP con Atlas.

Para agregar una regla de seguridad de entrada para permitir el tráfico LDAP entrante en el puerto 636, consulte la documentación de Azure.

Crea un usuario de vinculación.

Cree un usuario de enlace. El usuario de enlace es un usuario de Microsoft Entra ID que se utiliza para query la cuenta y para autenticar las credenciales de los usuarios de la base de datos cuando se conectan a una base de datos de Atlas. El usuario de enlace debe pertenecer al dominio personalizado que agregó a Microsoft Entra ID.

Para crear usuarios de Microsoft Entra ID, se puede consultar la documentación de Azure.

Habilita la cuenta de usuario de vinculación para Microsoft Entra ID Domain Services.

Debes generar una contraseña encriptada para el usuario de enlace para la autenticación de Kerberos y NTLM antes de que el usuario de enlace pueda utilizar los Servicios de Dominio de Microsoft Entra ID. Los pasos varían según el tipo de cuenta de usuario de Microsoft Entra ID.

Para aprender a generar hashes de contraseñas para tus usuarios, consulta la documentación de Azure.

Asigna el rol de Lectores de directorios a la cuenta de usuario de vinculación.

Para query Microsoft Entra ID, el usuario de enlace debe tener los permisos otorgados por el Directorio lectores rol.

Para asignar el rol Lectores de directorio al usuario de anclaje, consulta la documentación de Azure.

Crea usuarios de Microsoft Entra ID.

Si aún no existen, crea usuarios en Microsoft Entra ID Domain Services a quienes desees otorgar acceso a la base de datos. Los usuarios deben pertenecer al dominio personalizado que agregaste a Microsoft Entra ID.

Para crear usuarios de Microsoft Entra ID, se puede consultar la documentación de Azure.