Configura la autenticación y autorización de usuarios con OneLogin VLDAP

Configure el servicio LDAP de OneLogin.

1. Para obtener más información sobre cómo configurar el servicio de LDAP de OneLogin, consulte la documentación de OneLogin.

   Importante

   Es posible que tengas que ponerte en contacto con el soporte de OneLogin para habilitar el servicio VLDAP en tu cuenta.

2. Toma nota de tu <onelogin-instance-id>. Deberás proporcionarlo en varios lugares durante el proceso de configuración.

   El nombre de la instancia se encuentra en la URL que utiliza para iniciar sesión en su cuenta de OneLogin:

   https://<onelogin-instance-id>.onelogin.com

Añade direcciones IP a la lista de acceso IP.

En OneLogin, haga clic en Authenticationy haga clic en VLDAP. Agrega lo siguiente al campo Allow access by IP address para agregarlos a la lista de acceso IP:

1. La dirección IP de cada nodo del clúster Atlas. Utilice nslookup para obtener la dirección IP de cada host del clúster, utilizando los nombres de host generados por Atlas:

   nslookup cluster0-shard-00-00-example.mongodb.net

   Nota

   Si las direcciones IP de cualquiera de tus nodos cambian, debes actualizar la lista de acceso IP con las nuevas direcciones IP.

2. (Opcional) La dirección IP de una máquina desde la que se pueden ejecutar comandos ldapsearch para resolver problemas de conexión LDAP.

Crea un usuario de vinculación.

1. Crea un nuevo usuario de OneLogin para utilizarlo como el usuario de vinculación de Atlas. El usuario de enlace es un usuario de OneLogin que se utiliza para consultar la cuenta y autenticar las credenciales de los usuarios de la base de datos cuando se conectan a una base de datos de Atlas.

   Los campos Email y Username son obligatorios cuando creas el usuario de vinculación. Debes ingresar la misma dirección de correo electrónico en ambos campos.

   Importante

   No utilice su propia cuenta de usuario para el usuario vinculado.

2. Utilice la siguiente plantilla para determinar el nombre distinguido completo (DN) de su usuario de enlace:

   cn=<bind-user-email>,ou=users,dc=<onelogin-instance-id>,dc=onelogin,dc=com

   Por ejemplo, si su <bind-user-email> es bind@example.com y su <onelogin-instance-id> es mdb-example, el nombre distinguido del usuario de enlace es:

   cn=bind@example.com,ou=users,dc=mdb-example,dc=onelogin,dc=com

Asignar privilegios al usuario de vinculación.

En OneLogin, asigne al usuario vinculado el privilegio Manage users, Manage group o Super user.

1. Navegue a su página de Usuarios de OneLogin.

2. Haz clic en el usuario de enlace.

3. Haga clic en Add Privilege.

4. Selecciona el privilegio que deseas otorgar al usuario y luego haz clic en Continue.

5. Haga clic en Save User.

Configurar la contraseña del usuario de enlace en OneLogin.

Si aún no lo has hecho, establece una contraseña para el usuario de enlace en OneLogin:

1. Hacer clic en More Actions, luego hacer clic en Change Password.

2. Introduzca una contraseña y haga clic en Update.

Crea usuarios de base de datos en OneLogin.

Si aún no existen, cree usuarios en OneLogin a los que desea otorgar acceso a la base de datos:

1. Navegue a su página de usuarios de OneLogin.

2. Haga clic en New User.

3. Introduzca los datos del usuario.

   Los campos Email y Username son obligatorios cuando creas usuarios de base de datos. Introduzca la misma dirección de correo electrónico en ambos campos.

   Nota

   Evita introducir direcciones de correo electrónico con símbolos de suma (+). La integración LDAP de Atlas puede encontrar problemas con direcciones de correo electrónico que contienen el símbolo más.

4. Haga clic en Save User.

Establece las contraseñas de los usuarios de base de datos en OneLogin.

Si aún no lo ha hecho, establezca una contraseña para cada usuario de la base de datos en OneLogin:

1. Navegue a su página de usuarios de OneLogin.

2. Haz clic en el usuario para el que deseas establecer una contraseña.

3. Hacer clic en More Actions, luego hacer clic en Change Password.

4. Introduzca una contraseña y haga clic en Update.

En Atlas, ve a la página Advanced de tu proyecto.

1. Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.

2. Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Database & Network Access en la sección Security.

4. En la barra lateral, haga clic en Advanced.

   La página Avanzada se muestra.

Cambie el botón junto LDAP Authentication a On a.

Introduzca los detalles del servidor y las credenciales de enlace para todos sus servidores LDAP en el panel Configure Your LDAP Server.

Puedes listar múltiples servidores separados por comas. No se pueden usar puertos diferentes.

Agregar un usuario al mapeo de DN.

Agregue una asignación de DN para el usuario similar al siguiente ejemplo para permitir que los clientes proporcionen sus direcciones de correo electrónico en lugar de nombres distinguidos completos cuando se conectan a las bases de datos de Atlas:

[
   {
       "match": "(.+)",
       "substitution": "cn={0},ou=users,dc=<onelogin_instance_id>,dc=onelogin,dc=com"
   }
]

Ingresa los certificados emitidos por una Autoridad Certificadora (CA) para tus servidores LDAP, separados por comas, en el campo CA Root Certificate.

Puedes proporcionar certificados autofirmados.

Haga clic en Verify and Save.

Espera a que Atlas implemente tus cambios. Atlas verifica que sus clusters puedan conectarse, autenticar y consultar sus servidores LDAP usando los detalles de configuración que proporcionó.

En Atlas, ve a la página Database & Network Access de tu proyecto.

1. Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.

2. Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Database & Network Access en la sección Security.

La página Acceso a la base de datos y a la red se muestra.

Agrega usuarios de LDAP a Atlas

Añade usuarios gestionados en OneLogin LDAP a Atlas.

1. Haga clic en Add New Database User.

2. Haga clic en LDAP User.

3. Realice una de las siguientes acciones:

   1. Si no has ingresado un User to DN Mapping, ingresa el nombre distinguido completo del usuario LDAP. Sigue esta plantilla:

      cn=<user-name>,ou=users,dc=<onelogin-instance-id>,dc=onelogin,dc=com

      Por ejemplo, si su <user-name> es jane@example.com y su <onelogin-instance-id> es mdb-example, el nombre distinguido del usuario de enlace es:

      cn=jane@example.com,ou=users,dc=mdb-example,dc=onelogin,dc=com

   2. Si ingresaste un User to DN Mapping, introduce el nombre de usuario o la dirección de correo electrónico que requiere tu asignación.

4. Selecciona el nivel de acceso a la base de datos que se concederá al usuario.

5. Haga clic en Add User.

Crear grupos de acceso a la base de datos de OneLogin.

Atlas LDAP autorizacion LDAP utiliza grupos LDAP para determinar si los usuarios están autorizados a realizar acciones en la base de datos.

Crear grupos OneLogin separados para cada nivel de acceso que se desee otorgar a los usuarios. Por ejemplo, puedes crear un grupo para el acceso de sólo lectura a una base de datos, otro para el acceso de lectura y escritura, y así sucesivamente.

1. Navega a la página de tus grupos de OneLogin.

2. Haga clic en New Group.

3. Introduce un nombre de grupo, por ejemplo db-read.

4. Haga clic en Save.

Agrega usuarios de OneLogin a los grupos de acceso a la base de datos.

Asigne usuarios a grupos en función del nivel de acceso que cada usuario requiera.

1. Navegue a su página de Usuarios de OneLogin.

2. Haga clic en el usuario que desea agregar a un grupo.

3. Haz clic en la pestaña Authentication.

4. Seleccione el grupo al que desea agregar el usuario.

5. Haga clic en Save User.

En Atlas, ve a la página Database & Network Access de tu proyecto.

1. Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.

2. Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Database & Network Access en la sección Security.

La página Acceso a la base de datos y a la red se muestra.

Agregue los grupos LDAP de acceso a la base dedatos a Atlas.

Agregue a Atlas cada uno de los grupos de bases de datos de OneLogin que creó. Los miembros de los grupos que agregue tendrán autorización para realizar las acciones de base de datos asignadas al grupo.

1. Haga clic en Add New Database User.

1. Haz clic en LDAP Group y, a continuación, introduce el nombre distinguido completo del grupo que contiene a los usuarios de tu base de datos, incluso si activaste User to DN Mapping. Sigue esta plantilla:

   cn=<group-name>,ou=groups,dc=<onelogin-instance-id>,dc=onelogin,dc=com

   Por ejemplo, si su <group-name> es db-read y su <onelogin-instance-id> es mdb-example, el nombre distinguido del usuario de enlace es:

   cn=db-read,ou=groups,dc=mdb-example,dc=onelogin,dc=com

1. Seleccione el nivel de acceso a la base de datos que desea otorgar a los usuarios de este grupo.

2. Haga clic en Add User.

En Atlas, ve a la página Advanced de tu proyecto.

1. Si aún no aparece, se debe seleccionar la organización que contiene el proyecto en el menú Organizations de la barra de navegación.

2. Si aún no se muestra, seleccione su proyecto en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Database & Network Access en la sección Security.

4. En la barra lateral, haga clic en Advanced.

   La página Avanzada se muestra.

Cambie el botón junto LDAP Authorization a On a.

Verifica que los detalles del servidor y las credenciales de enlace de tu servidor LDAP sean correctos en el panel Configure Your LDAP Server.

Ingresa una plantilla de consulta en Query Template.

Cuando un usuario intenta realizar una acción, Atlas ejecuta la plantilla de consulta LDAP para obtener los grupos LDAP a los que pertenece el usuario autenticado. Atlas permite la acción si la consulta devuelve al menos un grupo autorizado para realizarla. Atlas no permite la acción si la consulta no devuelve ningún grupo autorizado para realizarla.

Atlas sustituye el nombre de usuario autenticado en el marcador de posición {USER} cuando ejecuta la query. La consulta es relativa al host especificado en Server Hostname.

El formato de la consulta debe cumplir con RFC4515 y RFC.4516

Introduzca el siguiente Query Template:

{USER}?memberOf?base

Haga clic en Verify and Save.

Espere a que Atlas implemente los cambios. Atlas verifica que sus clústeres puedan conectarse, autenticarse y consultar su servidor LDAP utilizando la configuración proporcionada.

En Atlas, ve a la página Clusters de tu proyecto.

1. Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.

2. Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.

3. En la barra lateral, haz clic en Clusters en la sección Database.

La página de clústeres se muestra.

Conéctate a tu clúster con las credenciales de usuario que agregaste en Atlas.

Utiliza mongosh para conectarte a tu clúster. Para copiar la cadena de conexión:

1. Haga clic en Connect.

2. Haz clic en LDAP y después en Copy.

3. Pega y edita la string con tu Nombre Distinguido de Usuario (DN) y contraseña.

Después de conectarte a tu clúster, ejecuta los comandos para verificar que el usuario tenga los privilegios de lectura o escritura que tú le asignaste.