Esta guía le muestra cómo configurar la autenticación federada utilizando Microsoft Entra ID como su Desplazado personal.
Después de integrar Microsoft Entra ID y Atlas, puedes usar las credenciales de tu empresa para iniciar sesión en Atlas y otros servicios de MongoDB en la nube.
Nota
Atlas ahora admite SSO para usuarios de bases de datos a través de Autenticación y autorización con OIDC/OAuth 2.0.
Acceso requerido
Para administrar la autenticación federada, debe tener
Organization Owner acceso a una o más organizaciones que están delegando configuraciones de federación a la instancia.
Requisitos previos
Para usar Microsoft Entra ID como un proveedor de identidad para Atlas, debes tener:
Una suscripción a Azure. Para obtener una suscripción, visite Portal de Microsoft Azure.
Un inquilino de Microsoft Entra ID asociado a la suscripción. Para obtener información sobre cómo configurar un inquilino de Microsoft Entra ID, se puede consultar la Documentación de Microsoft Entra ID.
Se requieren al menos privilegios
Cloud App AdministratoryUser Administratoren el inquilino de Microsoft Entra ID.Un nombre de dominio personalizado y enrutable.
Procedimientos
Agregar usuarios de dominio
Si aún no lo hiciste, utiliza la consola de Azure para agregar tu nombre de dominio personalizado a Microsoft Entra ID y crear usuarios:
Agrega tu dominio personalizado a Microsoft Entra ID.
Agrega tu nombre de dominio personalizado a Microsoft Entra ID para crear usuarios que pertenezcan a tu dominio. Después de agregar tu dominio, también debes agregar la información de DNS de Microsoft Entra ID en un registro TXT con tu proveedor de DNS y verificar la configuración.
Para agregar el dominio personalizado a Microsoft Entra ID, se puede consultar la documentación de Azure.
Crea usuarios de Microsoft Entra ID.
Si aún no existen, crea usuarios en Microsoft Entra ID a los que desees conceder acceso. Los usuarios deben pertenecer al dominio personalizado que agregaste a Microsoft Entra ID.
Para crear usuarios de Microsoft Entra ID, se puede consultar la documentación de Azure.
Configura Microsoft Entra ID como proveedor de identidades
Utiliza la consola de Azure para configurar Microsoft Entra ID como un proveedor de identidad SAML. Puedes agregar la aplicación de MongoDB Cloud desde la Galería o configurar una aplicación manualmente.
Agrega la aplicación MongoDB Cloud desde la galería.
Para agregar la aplicación MongoDB Cloud a tu tenant de Microsoft Entra ID, consulta la documentación de Azure.
Asigna usuarios a la aplicación.
Asigna usuarios a la aplicación. Estos usuarios tendrán acceso a Atlas y a otros servicios en la nube de MongoDB cuando termines el tutorial.
Para asignar usuarios de Microsoft Entra ID a una aplicación, consulta la documentación de Azure.
Navega a la página de configuración de SAML para comenzar a configurar el inicio de sesión único.
Para navegar a la página de configuración de SAML, consulta la documentación de Azure.
Establece valores temporales para el identificador y la URL de respuesta.
Para generar un certificado de firma SAML válido, debe asignar valores temporales a los Identifier y Reply URL para su aplicación empresarial Microsoft Entra ID. Si descarga el certificado antes de configurar estos valores, el certificado descargado no será único y deberá descargarlo de nuevo después de configurarlos.
Para establecer los valores temporales:
Haz clic en Edit en la Sección 1.
Remueve cualquier valor por defecto existente y establece los siguientes valores temporales:
ConfiguraciónValor temporalIdentifier (Entity ID)
https://www.okta.com/saml2/service-provider/MongoDBCloudReply URL (Assertion Consumer Service URL).
https://auth.mongodb.com/sso/saml2/Haga clic en Save.
Actualiza la página del navegador para asegurarte de que el certificado se haya regenerado.
La huella digital y la fecha de caducidad del certificado cambian con respecto a los valores que se tenían después de que el identificador temporal y la URL de respuesta se actualizaran por primera vez.
Opcional: agrega reclamaciones de grupo al token de SAML.
Omite este paso si no vas a usar la asignación de roles.
Para usar la asignación de roles, agrega la siguiente reclamación de grupo al token SAML que Microsoft Entra ID envía a Atlas:
Haz clic en Add a group claim. Azure muestra el panel Group Claims.
En Which groups associated with the user should be returned in the claim?, haz clic en Security groups.
Los grupos que seleccione dependen del tipo de grupos que haya configurado en su entorno de Azure. Es posible que necesite seleccionar un tipo diferente de grupo para enviar la información de grupo adecuada.
Desde el menú desplegable Source attribute, haz clic en Group Id.
Si seleccionas Group Id, Azure envía el ID de objeto del grupo de seguridad y no el nombre del grupo legible por humanos. Según tu entorno de Azure, puedes tener la opción de seleccionar un atributo de origen diferente que envíe el nombre del grupo en su lugar.
Al crear asignaciones de roles en Atlas, asegúrate de que los datos del grupo de Azure enviados en la respuesta SAML coincidan exactamente con el nombre de la asignación de roles configurado en Atlas.
Haz clic en Customize the name of the group claim de la sección Advanced options.
Establece Name en memberOf.
Deja Namespace en blanco.
Borra Emit groups as role claims.
Haga clic en Save.
Agrega una aplicación que no sea de galería a Microsoft Entra ID.
Asigna a la aplicación un nombre descriptivo, como MongoDB-Atlas.
Para agregar una aplicación que no sea de galería a Microsoft Entra ID, consulta la documentación de Azure.
Asigna usuarios a la aplicación.
Asigna usuarios a la aplicación. Estos usuarios tendrán acceso a Atlas y a otros servicios en la nube de MongoDB cuando termines el tutorial.
Para asignar usuarios de Microsoft Entra ID a una aplicación, consulta la documentación de Azure.
Navega a la página de configuración de SAML para comenzar a configurar el inicio de sesión único.
Para navegar a la página de configuración de SAML, consulta la documentación de Azure.
Establece valores temporales para el identificador y la URL de respuesta.
Para generar un certificado de firma SAML válido, debes asignar valores temporales a Identifier y Reply URL para tu aplicación empresarial de Microsoft Entra ID. Si descargas el certificado antes de configurar estos valores, el certificado descargado no será único y tendrás que descargarlo nuevamente después de configurar estos valores.
Para establecer los valores temporales:
Haz clic en Edit en la Sección 1.
Remueve cualquier valor por defecto existente y establece los siguientes valores temporales:
ConfiguraciónValor temporalIdentifier (Entity ID)
https://www.okta.com/saml2/service-provider/MongoDBCloudReply URL (Assertion Consumer Service URL).
https://auth.mongodb.com/sso/saml2/Haga clic en Save.
Actualiza la página del navegador para asegurarte de que el certificado se haya regenerado.
La huella digital y la fecha de caducidad del certificado cambian con respecto a los valores que se tenían después de que el identificador temporal y la URL de respuesta se actualizaran por primera vez.
Opcional: borra el Additional Claims.
Para simplificar la configuración de SAML, se puede borrar el Additional claims por defecto:
En la sección User Attributes & Claims, haz clic en el icono Edit.
Para cada reclamación en la sección Additional claims, amplía el Context menu y, a continuación, haz clic en Delete.
Edita la reclamación obligatoria Unique User Identifier.
Usa los siguientes valores:
Choose name identifier format:
UnspecifiedSource:
AttributeSource attribute:
user.userprincipalnameImportante
Selecciona el atributo de origen
En función de tu configuración de Active Directory, el atributo de origen que contiene la dirección de correo electrónico completa de un usuario puede no ser
user.userprincipalname. Utiliza el atributo de origen que contiene la dirección de correo electrónico que coincide con los nombres de usuario de los usuarios de Atlas existentes en tu dominio federado, comouser.mail.Para los usuarios Atlas existentes en tu dominio federado, selecciona el atributo de origen que contiene los nombres de usuario Atlas actuales de esos usuarios.
Para editar la reclamación requerida Unique User Identifier, consulta la documentación de Azure.
Agrega reclamaciones de usuario al token SAML.
Agrega las siguientes reclamaciones de usuario al token SAML que Microsoft Entra ID envía a Atlas:
Importante
Los valores en la columna Nombre distinguen entre mayúsculas y minúsculas. Introdúcelos exactamente como se muestra.
Debes dejar el campo Namespace vacío para todas las reclamaciones de usuarios.
Nombre | Origen | Atributo de origen |
|---|---|---|
| Atributo |
|
| Atributo |
|
Nota
En función de la configuración de Active Directory, los atributos de origen que utilices pueden ser diferentes. Utiliza los atributos de origen que contienen el nombre y apellido de un usuario para las reclamaciones apropiadas.
Para agregar reclamaciones de usuario, consulta la documentación de Azure.
Opcional: agrega reclamaciones de grupo al token de SAML.
Omite este paso si no vas a usar la asignación de roles.
Para usar la asignación de roles, agrega la siguiente reclamación de grupo al token SAML que Microsoft Entra ID envía a Atlas:
Haz clic en Add a group claim. Azure muestra el panel Group Claims.
En Which groups associated with the user should be returned in the claim?, haz clic en Security groups.
Los grupos que seleccione dependen del tipo de grupos que haya configurado en su entorno de Azure. Es posible que necesite seleccionar un tipo diferente de grupo para enviar la información de grupo adecuada.
Desde el menú desplegable Source attribute, haz clic en Group Id.
Si seleccionas Group Id, Azure envía el ID de objeto del grupo de seguridad y no el nombre del grupo legible por humanos. Según tu entorno de Azure, puedes tener la opción de seleccionar un atributo de origen diferente que envíe el nombre del grupo en su lugar.
Al crear asignaciones de roles en Atlas, asegúrate de que los datos del grupo de Azure enviados en la respuesta SAML coincidan exactamente con el nombre de la asignación de roles configurado en Atlas.
Haz clic en Customize the name of the group claim de la sección Advanced options.
Establece Name en memberOf.
Deja Namespace en blanco.
Borra Emit groups as role claims.
Haga clic en Save.
Verifica si el certificado de firma SAML utiliza SHA-256.
Para verificar que el certificado de firma SAML utiliza el algoritmo de firma SHA-256, consulta la documentación de Azure.
Agrega Microsoft Entra ID como proveedor de identidades en Atlas
Utiliza la Federation Management Console y la consola de Azure para agregar Microsoft Entra ID como proveedor de identidad:
En Atlas, ir a la consola Federation Management de la Organización.
Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.
En la barra lateral, haz clic en Federation en la sección Identity & Access.
Haga clic en Open Federation Management App.
La página de Federación se muestra.
Agrega Microsoft Entra ID a Atlas como proveedor de identidad.
Haga clic en Configure Identity Providers.
Si aún no tienes ningún proveedor de identidad configurado, haz clic en Setup Identity Provider. De lo contrario, en la pantalla Identity Providers, haz clic en Add Identity Provider.
Introduce o selecciona los siguientes ajustes del protocolo SAML. Todos los campos son obligatorios:
CampoDescripciónConfiguration Name
Nombre descriptivo, como
Microsoft Entra ID.IdP Issuer URI
Microsoft Entra ID Identifier que copiaste de Azure antes en el tutorial.
IdP Single Sign-On URL
Login URL que copiaste de Azure antes en el tutorial.
IdP Signature Certificate
Base64codificado. Certificado de firma SAML que descargaste de Azure antes en el tutorial.Puedes:
Subir el certificado desde el ordenador, o
Pegue el contenido del certificado en un cuadro de texto.
Request Binding
HTTP POST.
Response Signature Algorithm
SHA-256.
Haga clic en Next.
Carga el archivo de metadatos a Azure para terminar de configurar Microsoft Entra ID como proveedor de identidad.
Para cargar el archivo, consulte la captura de pantalla del paso 3 de "Habilitar el inicio de sesión único para una aplicación" en la documentación de Azure. Haga clic Upload metadata file en en la página de configuración de SSO, como se muestra en la captura de pantalla de la documentación de Azure vinculada.
Opcionalmente, se debe agregar una URL de RelayState al proveedor de identidad para enviar a los usuarios a una URL que se elijan y evitar redirecciones innecesarias después de iniciar sesión. Se puede utilizar:
Destino | URL de RelayState | |
|---|---|---|
MongoDB Atlas | Login URL generada para la configuración del proveedor de identidad en la aplicación de gestión de federación de Atlas. | |
Portal de soporte de MongoDB | | |
MongoDB University | | |
Foros de MongoDB Community | | |
Motor de comentarios de MongoDB | | |
MongoDB JIRA | |
Mapea tu dominio
Asignar tu dominio al proveedor de identidad permite que Atlas sepa que los usuarios de tu dominio deben ser dirigidos a la Login URL para tu configuración de proveedor de identidad.
Cuando los usuarios visitan la página de inicio de sesión de Atlas, introducen su dirección de correo electrónico. Si el dominio de correo electrónico está asociado a un proveedor de identidad, se envía a la URL de inicio de sesión de ese proveedor de identidad.
Importante
Cuando se asigna un solo dominio a varios proveedores de identidad, los usuarios que inician sesión mediante la consola MongoDB Cloud son redirigidos automáticamente al IdP asociado con la primera aplicación IdP SAML que se configuró para Atlas.
Para utilizar un proveedor de identidad alternativo, los usuarios deben iniciar sesión a través de una URL de inicio de sesión iniciada por el SP o el IdP.
Utiliza la Federation Management Console para asignar tu dominio al proveedor de identidad:
En Atlas, ir a la consola Federation Management de la Organización.
Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.
En la barra lateral, haz clic en Federation en la sección Identity & Access.
Haga clic en Open Federation Management App.
La página de Federación se muestra.
Ingresa la información de mapeo del dominio.
Haga clic en Add a Domain.
En la pantalla Domains, haz clic en Add Domain.
Ingresa la siguiente información para el mapeo de tu dominio:
CampoDescripciónDisplay Name
Etiqueta para identificar fácilmente el dominio.
Nombre de dominio
Nombre de dominio para asignar.
Haga clic en Next.
Elige el método de verificación de tu dominio.
Nota
Puedes elegir el método de verificación una vez. No se puede modificar. Para seleccionar otro método de verificación, borra y recrea el mapeo de dominio.
Selecciona la pestaña adecuada en función de si cargarás un archivo HTML o crearás un registro DNS TXT para verificar tu dominio:
Se puede cargar un archivo HTML que contenga una clave de verificación para verificar que se es el propietario del dominio.
Haga clic en HTML File Upload.
Haga clic en Next.
Descarga el archivo
mongodb-site-verification.htmlque proporciona Atlas.Se puede cargar el archivo HTML en un sitio web del dominio. Se debe poder acceder al archivo en
<https://host.domain>/mongodb-site-verification.html.Haga clic en Finish.
Crea un registro TXT de DNS con tu proveedor de dominio para verificar que eres el propietario de tu dominio. Cada registro DNS asocia una organización de Atlas específica con un dominio específico.
Haga clic en DNS Record.
Haga clic en Next.
Copia el registro TXT proporcionado. El registro TXT tiene la siguiente forma:
mongodb-site-verification=<32-character string> Inicia sesión en tu proveedor de nombre de dominio (como GoDaddy.com o networksolutions.com).
Agrega el registro TXT que Atlas proporciona a tu dominio.
Regresa a Atlas y haz clic en Finish.
Verifica tu dominio.
En la pantalla Domains, se muestran los dominios verificados y no verificados que has asignado a tu proveedor de identidad. Para verificar tu dominio, haz clic en el botón Verify del dominio de destino. Atlas muestra si la verificación se ha realizado correctamente en un banner en la parte superior de la pantalla.
Asocia tu dominio con tu proveedor de identidad
Después de verificar correctamente tu dominio, usa la Federation Management Console para asociar el dominio con Microsoft Entra ID:
Haz clic en Identity Providers en la navegación izquierda.
Para el proveedor de identidad que quieres asociar con tu dominio, haz clic en Edit junto a Associated Domains.
Selecciona el dominio que quieres asociar al proveedor de identidad.
Haga clic en Confirm.
Prueba tu asignación de dominio
Importante
Antes de comenzar las pruebas, copia y guarda la URL del Modo de SAML de omisión para tu proveedor de identidad. Usa esta URL para omitir la autenticación federada si no puedes acceder a tu organización Atlas.
Durante las pruebas, mantén iniciada la sesión en la Federation Management Console para evitar bloqueos.
Para aprender más sobre Bypass SAML Mode, consulta Modo de SAML de omisión.
Utiliza Federation Management Console para probar la integración entre tu dominio y Microsoft Entra ID:
En una ventana privada del navegador, navega a la página de inicio de sesión de Atlas.
Ingresa un nombre de usuario (generalmente una dirección de correo electrónico) con tu dominio verificado.
Ejemplo
Si tu dominio verificado es mongodb.com, utiliza una dirección de correo electrónico con el formato username@mongodb.com.
Haz clic en Next. Si asignaste tu dominio correctamente, se te redirigirá a tu proveedor de identidad para autenticarte. Una vez que la autenticación sea exitosa, se te redirigirá de regreso a Atlas.
Nota
Puedes omitir la página para iniciar sesión de Atlas si navegas directamente a tu proveedor de identidad Login URL.
(Opcional) Mapea una organización
Utiliza el Federation Management Console para asignar a los usuarios de tu dominio acceso a organizaciones específicas de Atlas:
En Atlas, ir a la consola Federation Management de la Organización.
Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.
En la barra lateral, haz clic en Federation en la sección Identity & Access.
Haga clic en Open Federation Management App.
La página de Federación se muestra.
Conecta una organización a la aplicación de la Federación.
Haga clic en Link Organizations.
Atlas muestra todas las organizaciones en las que eres un
Organization Owner.Las organizaciones que aún no están conectadas a la aplicación de la Federación tienen el botón Configure Access en la columna Actions.
Haz clic en el botón Configure Access de la organización deseada.
Aplica un proveedor de identidad a la organización.
En la pantalla Identity Provider, haz clic en Connect Identity Provider.
Atlas te dirige a la pantalla Identity Providers que muestra todos los proveedores de identidad que has vinculado con Atlas.
Para el proveedor de identidad que apliques a la organización, haz clic en Connect.
En el modo Apply Identity Provider to Organizations, selecciona las organizaciones a las que se aplica este proveedor de identidad.
Haga clic en Confirm.
(Opcional) Configura las opciones avanzadas de autenticación federada
Puedes configurar las siguientes opciones avanzadas para la autenticación federada para un mayor control sobre tus usuarios federados y el flujo de autenticación:
Nota
Las siguientes opciones avanzadas para la autenticación federada requieren que asignes una organización.
Inicia sesión en Atlas usando tu URL de inicio de sesión
Todos los usuarios que asignaste a la aplicación Azure pueden iniciar sesión en Atlas con sus credenciales de Microsoft Entra ID en el Login URL. Los usuarios tienen acceso a las organizaciones que asignaste a tu proveedor de identidad.
Importante
Cuando se asigna un solo dominio a varios proveedores de identidad, los usuarios que inician sesión mediante la consola MongoDB Cloud son redirigidos automáticamente al IdP asociado con la primera aplicación IdP SAML que se configuró para Atlas.
Para utilizar un proveedor de identidad alternativo, los usuarios deben iniciar sesión a través de una URL de inicio de sesión iniciada por el SP o el IdP.
Si seleccionaste un rol por defecto en la organización, los nuevos usuarios que inicien sesión en Atlas con Login URL tendrán el rol que especificaste.