Docs Menu
Docs Home
/ /
Federado
Docs Home
/
Gestión
/
Seguridad de la organización
/
Federado
Docs Home
/
Gestión
/
Seguridad de la organización
/
Federado

Configurar autenticación federada desde Okta

Esta guía le muestra cómo configurar la autenticación federada usando Okta como su Desplazado personal.

Después de integrar Okta y Atlas, puede usar las credenciales de su empresa para iniciar sesión en Atlas y otros servicios en la nube de MongoDB.

Nota

Si usas la aplicación MongoDB Cloud de funcionalidad incorporada de Okta, puedes utilizar Okta's documentation.

Si está creando su propia aplicación SAML, utilice los procedimientos que se describen aquí.

Acceso requerido

Para administrar la autenticación federada, debe tener Organization Owner acceso a una o más organizaciones que están delegando configuraciones de federación a la instancia.

Requisitos previos

Para utilizar Okta como IdP para Atlas, debes tener:

  • Una cuenta Okta.

  • Un nombre de dominio personalizado y enrutable.

Procedimientos

Durante el siguiente procedimiento, es útil tener una pestaña del navegador abierta en tu Consola de gestión de federaciones de Atlas y otra pestaña abierta en tu cuenta de Okta.

Configurar Okta como proveedor de identidad

1

Descargue su certificado de originación de Okta.

  1. En su cuenta de Okta, haga clic en Admin en la esquina superior derecha para acceder al entorno de Administrador.

  2. En el panel izquierdo, navegue a Applications -> Applications.

  3. Haga clic en Create App Integration. Seleccione SAML 2.0 para Sign-in method y haga clic en Next.

  4. Complete el campo de texto App name con el nombre de la aplicación deseada.

  5. Opcionalmente, agrega una imagen de logotipo y configura la visibilidad de la aplicación. Haz clic en Next.

  6. En la pantalla Configure SAML, ingrese la siguiente información:

    Campo
    Valor

    Single sign-on URL

    http://localhost

    Audience URI

    urn:idp:default

    Importante

    Estos son valores de marcador de posición y no están destinados a usarse en producción. Los reemplazará más adelante.

    Deje los demás campos vacíos o configúrelos con sus valores predeterminados y haga clic en Next en la parte inferior de la página.

  7. En la pantalla Feedback, seleccione I'm an Okta customer adding an internal app y haga clic en Finish.

  8. En la parte inferior de la página, bajo el encabezado SAML Signing Certificates, busque el certificado más nuevo con un Status de Active: este es el certificado que acaba de crear.

    Haga clic en Actions y seleccione Download certificate en el menú desplegable. El certificado generado es un archivo .cert. Debe convertirlo a un certificado .pem para usarlo más adelante en este procedimiento. Para ello, abra una terminal de su elección y ejecute lo siguiente:

    openssl x509 -in path/to/mycert.crt -out path/to/mycert.pem -outform PEM
2

En Atlas, ir a la consola Federation Management de la Organización.

  1. Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.

  2. En la barra lateral, haz clic en Federation en la sección Identity & Access.

  3. Haga clic en Open Federation Management App.

La página de Federación se muestra.

3

Proporcionar credenciales de Okta a Atlas.

  1. Haga Identity Providers clic en en el panel izquierdo. Si ya configuró un IdP, haga Add Identity Provider clic en en la esquina superior derecha de la página y luego Setup Identity Provider en. Si no ha configurado un IdP, haga clic Setup Identity Provider en.

  2. En la pantalla Configure Identity Provider, ingrese la siguiente información:

    Campo
    Valor

    Configuration Name

    Etiqueta descriptiva que identifica la configuración

    Issuer URI

    Fill with Placeholder Values

    Single Sign-On URL

    Fill with Placeholder Values

    Identity Provider Signature Certificate

    Certificado que recibiste de Okta en un paso anterior

    Request Binding

    HTTP POST

    Response Signature Algorithm

    SHA-256

  3. Haga clic en el botón Next para ver los valores de la configuración de Okta.

  4. Haga clic en Finish.

4

Configure su integración SAML.

  1. En su cuenta de Okta, regrese a la página de su aplicación SAML y asegúrese de que la pestaña General esté seleccionada.

  2. En el panel SAML Settings, haga clic en Edit.

  3. En la página General Settings, haz clic en Next.

  4. En la pantalla Configure SAML, ingrese la siguiente información:

    Campo de datos de Okta
    Valor

    Single sign on URL

    Assertion Consumer Service URL del Atlas FMC.

    Casillas de verificación:

    • Check Use this for Recipient URL and Destination URL.

    • Borra Allow this app to request other SSO URLs.

    Audience URI (SP Entity ID)

    Audience URI del Atlas FMC.

    Default RelayState

    Opcionalmente, se debe agregar una URL de RelayState al proveedor de identidad para enviar a los usuarios a una URL que se elijan y evitar redirecciones innecesarias después de iniciar sesión. Se puede utilizar:

    Destino
    URL de RelayState

    MongoDB Atlas

    Login URL generada para la configuración del proveedor de identidad en la aplicación de gestión de federación de Atlas.

    Portal de soporte de MongoDB

    https://auth.mongodb.com/app/salesforce/exk1rw00vux0h1iFz297/sso/saml

    MongoDB University

    https://auth.mongodb.com/home/mongodb_thoughtindustriesstaging_1/0oadne22vtcdV5riC297/alndnea8d6SkOGXbS297

    Foros de MongoDB Community

    https://auth.mongodb.com/home/mongodbexternal_communityforums_3/0oa3bqf5mlIQvkbmF297/aln3bqgadajdHoymn297

    Motor de comentarios de MongoDB

    https://auth.mongodb.com/home/mongodbexternal_uservoice_1/0oa27cs0zouYPwgj0297/aln27cvudlhBT7grX297

    MongoDB JIRA

    https://auth.mongodb.com/app/mongodbexternal_mongodbjira_1/exk1s832qkFO3Rqox297/sso/saml

    Name ID format

    Sin especificar

    Application username

    Correo electrónico

    Update application username on

    Crear y actualizar

  5. Haga clic en el enlace Click Show Advanced Settings en la página de configuración de Okta y asegúrese de que estén configurados los siguientes valores:

    Campo de datos de Okta
    Valor

    Response

    Signed

    Assertion Signature

    Signed

    Signature Algorithm

    RSA-SHA256

    Digest Algorithm

    SHA256

    Assertion Encryption

    Unencrypted

  6. Deje los Advanced Settings campos restantes en su estado predeterminado.

  7. Desplácese hacia abajo hasta la sección Attribute Statements (optional) y cree cuatro atributos con los siguientes valores:

    Nombre
    Formato del nombre
    Valor

    firstName

    Sin especificar

    user.firstName

    lastName

    Sin especificar

    user.lastName

    Importante

    Los valores en la columna Nombre distinguen entre mayúsculas y minúsculas. Introdúcelos exactamente como se muestra.

    Nota

    Estos valores pueden variar si Okta está conectado a Active Directory. Para obtener los valores adecuados, utilice los campos de Active Directory que contienen el nombre, apellido y dirección de correo electrónico completa del usuario.

  8. (Opcional) Si planea utilizar la asignación de roles, desplácese hacia abajo hasta la Group Attribute Statements (optional) sección y cree un atributo con los siguientes valores:

    Nombre
    Formato del nombre
    filtro
    Valor

    miembro de

    Sin especificar

    Coincide con expresiones regulares

    .*

    Este filtro coincide con todos los nombres de grupo asociados al usuario. Para filtrar aún más los nombres de grupo enviados a Atlas, ajuste los campos Filter y Value.

  9. Haga clic en Next en la parte inferior de la página.

  10. En la pantalla Feedback, haz clic en Finish.

5

Reemplaza los valores de marcador de posición en el Atlas FMC.

  1. En la página de la aplicación Okta, haga clic en View Setup Instructions en el medio de la página.

  2. En Atlas FMC, vaya a la Identity Providers página. Localice su Okta y haga clic Edit en.

  3. Reemplace los valores de marcador de posición en los siguientes campos:

    Campo de datos FMC
    Valor

    Issuer URI

    Identity Provider Issuer valor de la página de instrucciones de configuración de Okta.

    Single Sign-on URL

    Identity Provider Single Sign-On URL valor de la página de instrucciones de configuración de Okta.

    Identity Provider Signature Certificate

    Copie el X.509 Certificate de la página de instrucciones de configuración de Okta y pegue el contenido directamente.

  4. Haga clic en Next.

  5. Haga clic en Finish.

6

Asigna usuarios a tu aplicación Okta.

  1. En la página de aplicaciones de Okta, haz clic en la pestaña Assignments.

  2. Asegúrese de que todos los usuarios de su organización de Atlas que utilizarán Okta estén inscritos.

Mapea tu dominio

Asignar tu dominio al proveedor de identidad permite que Atlas sepa que los usuarios de tu dominio deben ser dirigidos a la Login URL para tu configuración de proveedor de identidad.

Cuando los usuarios visitan la página de inicio de sesión de Atlas, introducen su dirección de correo electrónico. Si el dominio de correo electrónico está asociado a un proveedor de identidad, se envía a la URL de inicio de sesión de ese proveedor de identidad.

Importante

Cuando se asigna un solo dominio a varios proveedores de identidad, los usuarios que inician sesión mediante la consola MongoDB Cloud son redirigidos automáticamente al IdP asociado con la primera aplicación IdP SAML que se configuró para Atlas.

Para utilizar un proveedor de identidad alternativo, los usuarios deben iniciar sesión a través de una URL de inicio de sesión iniciada por el SP o el IdP.

Utiliza la Federation Management Console para asignar tu dominio al proveedor de identidad:

1
En Atlas, ir a la consola Federation Management de la Organización.

  1. Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.

  2. En la barra lateral, haz clic en Federation en la sección Identity & Access.

  3. Haga clic en Open Federation Management App.

La página de Federación se muestra.

2

Ingresa la información de mapeo del dominio.

  1. Haga clic en Add a Domain.

  2. En la pantalla Domains, haz clic en Add Domain.

  3. Ingresa la siguiente información para el mapeo de tu dominio:

    Campo
    Descripción

    Display Name

    Etiqueta para identificar fácilmente el dominio.

    Nombre de dominio

    Nombre de dominio para asignar.

  4. Haga clic en Next.

3

Elige el método de verificación de tu dominio.

Nota

Puedes elegir el método de verificación una vez. No se puede modificar. Para seleccionar otro método de verificación, borra y recrea el mapeo de dominio.

Selecciona la pestaña adecuada en función de si cargarás un archivo HTML o crearás un registro DNS TXT para verificar tu dominio:

Se puede cargar un archivo HTML que contenga una clave de verificación para verificar que se es el propietario del dominio.

  1. Haga clic en HTML File Upload.

  2. Haga clic en Next.

  3. Descarga el archivo mongodb-site-verification.html que proporciona Atlas.

  4. Se puede cargar el archivo HTML en un sitio web del dominio. Se debe poder acceder al archivo en <https://host.domain>/mongodb-site-verification.html.

  5. Haga clic en Finish.

Crea un registro TXT de DNS con tu proveedor de dominio para verificar que eres el propietario de tu dominio. Cada registro DNS asocia una organización de Atlas específica con un dominio específico.

  1. Haga clic en DNS Record.

  2. Haga clic en Next.

  3. Copia el registro TXT proporcionado. El registro TXT tiene la siguiente forma:

    mongodb-site-verification=<32-character string>

  4. Inicia sesión en tu proveedor de nombre de dominio (como GoDaddy.com o networksolutions.com).

  5. Agrega el registro TXT que Atlas proporciona a tu dominio.

  6. Regresa a Atlas y haz clic en Finish.

4

Verifica tu dominio.

En la pantalla Domains, se muestran los dominios verificados y no verificados que has asignado a tu proveedor de identidad. Para verificar tu dominio, haz clic en el botón Verify del dominio de destino. Atlas muestra si la verificación se ha realizado correctamente en un banner en la parte superior de la pantalla.

5
Borrar el archivo de registro proporcionado.

Importante

Para evitar una posible vulnerabilidad de seguridad, se debe borrar el archivo de registro proporcionado una vez que se complete la verificación.

Asocia tu dominio con tu proveedor de identidad

Después de verificar exitosamente su dominio, use Federation Management Console para asociar el dominio con Okta:

1

Haz clic en Identity Providers en la navegación izquierda.

2

Para el proveedor de identidad que quieres asociar con tu dominio, haz clic en Edit junto a Associated Domains.

3

Selecciona el dominio que quieres asociar al proveedor de identidad.

4

Haga clic en Confirm.

Prueba tu asignación de dominio

Importante

Antes de comenzar las pruebas, copia y guarda la URL del Modo de SAML de omisión para tu proveedor de identidad. Usa esta URL para omitir la autenticación federada si no puedes acceder a tu organización Atlas.

Durante las pruebas, mantén iniciada la sesión en la Federation Management Console para evitar bloqueos.

Para aprender más sobre Bypass SAML Mode, consulta Modo de SAML de omisión.

Utilice el Federation Management Console para probar la integración entre su dominio y Okta:

1

En una ventana privada del navegador, navega a la página de inicio de sesión de Atlas.

2

Ingresa un nombre de usuario (generalmente una dirección de correo electrónico) con tu dominio verificado.

Ejemplo

Si tu dominio verificado es mongodb.com, utiliza una dirección de correo electrónico con el formato username@mongodb.com.

3

Haz clic en Next. Si asignaste tu dominio correctamente, se te redirigirá a tu proveedor de identidad para autenticarte. Una vez que la autenticación sea exitosa, se te redirigirá de regreso a Atlas.

Nota

Puedes omitir la página para iniciar sesión de Atlas si navegas directamente a tu proveedor de identidad Login URL.

(Opcional) Mapea una organización

Utiliza el Federation Management Console para asignar a los usuarios de tu dominio acceso a organizaciones específicas de Atlas:

1

En Atlas, ir a la consola Federation Management de la Organización.

  1. Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.

  2. En la barra lateral, haz clic en Federation en la sección Identity & Access.

  3. Haga clic en Open Federation Management App.

La página de Federación se muestra.

2

Conecta una organización a la aplicación de la Federación.

  1. Haga clic en Link Organizations.

    Atlas muestra todas las organizaciones en las que eres un Organization Owner.

    Las organizaciones que aún no están conectadas a la aplicación de la Federación tienen el botón Configure Access en la columna Actions.

  2. Haz clic en el botón Configure Access de la organización deseada.

3

Aplica un proveedor de identidad a la organización.

  1. En la pantalla Identity Provider, haz clic en Connect Identity Provider.

    Atlas te dirige a la pantalla Identity Providers que muestra todos los proveedores de identidad que has vinculado con Atlas.

  2. Para el proveedor de identidad que apliques a la organización, haz clic en Connect.

  3. En el modo Apply Identity Provider to Organizations, selecciona las organizaciones a las que se aplica este proveedor de identidad.

  4. Haga clic en Confirm.

4

Conecta una organización a la aplicación de la Federación.

  1. Haz clic en Linked Organizations en la navegación izquierda.

  2. En la lista de Organizations, asegúrate de que las organizaciones que deseas ahora tengan el Identity Provider esperado.

(Opcional) Configura las opciones avanzadas de autenticación federada

Puedes configurar las siguientes opciones avanzadas para la autenticación federada para un mayor control sobre tus usuarios federados y el flujo de autenticación:

Nota

Las siguientes opciones avanzadas para la autenticación federada requieren que asignes una organización.

Inicia sesión en Atlas usando tu URL de inicio de sesión

Todos los usuarios asignados a la aplicación Okta pueden iniciar sesión en Atlas con sus credenciales de Okta Login URL en. Los usuarios tienen acceso a las organizaciones que asignó a su IdP.

Importante

Cuando se asigna un solo dominio a varios proveedores de identidad, los usuarios que inician sesión mediante la consola MongoDB Cloud son redirigidos automáticamente al IdP asociado con la primera aplicación IdP SAML que se configuró para Atlas.

Para utilizar un proveedor de identidad alternativo, los usuarios deben iniciar sesión a través de una URL de inicio de sesión iniciada por el SP o el IdP.

Si seleccionaste un rol por defecto en la organización, los nuevos usuarios que inicien sesión en Atlas con Login URL tendrán el rol que especificaste.

Volver

Google Workspace

Next

PingOne

En esta página