Esta guía le muestra cómo configurar la autenticación federada utilizando Microsoft Entra ID como su Desplazado personal.
Después de integrar Microsoft Entra ID y Cloud Manager, puede usar las credenciales de su empresa para iniciar sesión en Cloud Manager y otros servicios en la nube de MongoDB.
Limitaciones
Cloud Manager no admite la integración de inicio de sesión único para usuarios de bases de datos.
Requisitos previos
Para utilizar Microsoft Entra ID como IdP para Cloud Manager, debe tener:
Una suscripción a Azure. Para obtenerla, visite el portal de Microsoft Azure.
Un inquilino de Microsoft Entra ID asociado a la suscripción. Para obtener información sobre cómo configurar un inquilino de Microsoft Entra ID, se puede consultar la Documentación de Microsoft Entra ID.
Global Administratorprivilegios en su inquilino de ID de Microsoft Entra.Un nombre de dominio personalizado y enrutable.
Procedimientos
Agregar usuarios de dominio
Si aún no lo hiciste, utiliza la consola de Azure para agregar tu nombre de dominio personalizado a Microsoft Entra ID y crear usuarios:
Agrega tu dominio personalizado a Microsoft Entra ID
Agrega tu nombre de dominio personalizado a Microsoft Entra ID para crear usuarios que pertenezcan a tu dominio. Después de agregar tu dominio, también debes agregar la información de DNS de Microsoft Entra ID en un registro TXT con tu proveedor de DNS y verificar la configuración.
Para agregar el dominio personalizado a Microsoft Entra ID, se puede consultar la documentación de Azure.
Crea usuarios de Microsoft Entra ID.
Si aún no existen, cree los usuarios en Microsoft Entra ID a los que desee otorgar acceso a la base de datos. Los usuarios deben pertenecer al dominio personalizado que agregó a Microsoft Entra ID.
Para crear usuarios de Microsoft Entra ID, se puede consultar la documentación de Azure.
Configura Microsoft Entra ID como proveedor de identidades
Utiliza la consola de Azure para configurar Microsoft Entra ID como un proveedor de identidad SAML. Puedes agregar la aplicación de MongoDB Cloud desde la Galería o configurar una aplicación manualmente.
Agrega la aplicación MongoDB Cloud desde la galería.
Para agregar la aplicación MongoDB Cloud a tu tenant de Microsoft Entra ID, consulta la documentación de Azure.
Asigna usuarios a la aplicación.
Asigna usuarios a la aplicación. Estos usuarios tendrán acceso a Cloud Manager y a otros servicios en la nube de MongoDB al completar el tutorial.
Para asignar usuarios de Microsoft Entra ID a una aplicación, consulta la documentación de Azure.
Navega a la página de configuración de SAML para comenzar a configurar el inicio de sesión único.
Para navegar a la página de configuración de SAML, consulta la documentación de Azure.
Establece valores temporales para el identificador y la URL de respuesta.
Para generar un certificado de firma SAML válido, debe asignar valores temporales a los Identifier y Reply URL para su aplicación empresarial Microsoft Entra ID. Si descarga el certificado antes de configurar estos valores, el certificado descargado no será único y deberá descargarlo de nuevo después de configurarlos.
Para establecer los valores temporales:
Haz clic en Edit en la Sección 1.
Remueve cualquier valor por defecto existente y establece los siguientes valores temporales:
ConfiguraciónValor temporalIdentifier (Entity ID)
https://www.okta.com/saml2/service-provider/MongoDBCloudReply URL (Assertion Consumer Service URL).
https://auth.mongodb.com/sso/saml2/Haga clic en Save.
Actualiza la página del navegador para asegurarte de que el certificado se haya regenerado.
La huella digital y la fecha de caducidad del certificado cambian con respecto a los valores que se tenían después de que el identificador temporal y la URL de respuesta se actualizaran por primera vez.
Opcional: agrega reclamaciones de grupo al token de SAML.
Omite este paso si no vas a utilizarlo mapeo de roles.
Para usar la asignación de roles, agregue la siguiente reclamación de grupo al token SAML que Microsoft Entra ID envía a Cloud Manager:
Haz clic en Add a group claim. Azure muestra el panel Group Claims.
En Which groups associated with the user should be returned in the claim?, haz clic en Security groups. Los grupos que puedes seleccionar dependen del tipo de grupos que configuraste en tu entorno Azure. Es posible que necesites seleccionar un tipo diferente de grupo para enviar la información adecuada del grupo.
En el Source attribute menú desplegable,Group Id seleccione. Si Group Id selecciona, Azure envía el identificador de objeto del grupo de seguridad, no el nombre legible del grupo. Según su entorno de Azure, puede seleccionar un atributo de origen diferente que envíe el nombre del grupo. Al crear asignaciones de roles en Cloud Manager, haga coincidir los datos del grupo de Azure enviados en la respuesta SAML con el nombre de la asignación de roles de MongoDB Atlas configurada.
Haz clic en Customize the name of the group claim de la sección Advanced options.
Establece Name en memberOf.
Deja Namespace en blanco.
Borra Emit groups as role claims.
Haga clic en Save.
Agrega una aplicación que no sea de galería a Microsoft Entra ID.
Asigna a la aplicación un nombre descriptivo, como MongoDB-Cloud-Manager.
Para agregar una aplicación que no sea de galería a Microsoft Entra ID, consulta la documentación de Azure.
Asigna usuarios a la aplicación.
Asigna usuarios a la aplicación. Estos usuarios tendrán acceso a Cloud Manager y a otros servicios en la nube de MongoDB al completar el tutorial.
Para asignar usuarios de Microsoft Entra ID a una aplicación, consulta la documentación de Azure.
Navega a la página de configuración de SAML para comenzar a configurar el inicio de sesión único.
Para navegar a la página de configuración de SAML, consulta la documentación de Azure.
Establece valores temporales para el identificador y la URL de respuesta.
Para generar un certificado de firma SAML válido, debes asignar valores temporales a Identifier y Reply URL para tu aplicación empresarial de Microsoft Entra ID. Si descargas el certificado antes de configurar estos valores, el certificado descargado no será único y tendrás que descargarlo nuevamente después de configurar estos valores.
Para establecer los valores temporales:
Haz clic en Edit en la Sección 1.
Remueve cualquier valor por defecto existente y establece los siguientes valores temporales:
ConfiguraciónValor temporalIdentifier (Entity ID)
https://www.okta.com/saml2/service-provider/MongoDBCloudReply URL (Assertion Consumer Service URL).
https://auth.mongodb.com/sso/saml2/Haga clic en Save.
Actualiza la página del navegador para asegurarte de que el certificado se haya regenerado.
La huella digital y la fecha de caducidad del certificado cambian con respecto a los valores que se tenían después de que el identificador temporal y la URL de respuesta se actualizaran por primera vez.
Opcional: borra el Additional Claims.
Para simplificar la configuración de SAML, se puede borrar el Additional claims por defecto:
En la sección User Attributes & Claims, haz clic en el icono Edit.
Para cada reclamación en la sección Additional claims, amplía el Context menu y, a continuación, haz clic en Delete.
Edita la reclamación obligatoria Unique User Identifier.
Usa los siguientes valores:
Choose name identifier format:
UnspecifiedSource:
AttributeSource attribute:
user.userprincipalnameNota
Según la configuración de Active Directory, el atributo de origen que utilice puede variar. Utilice el atributo de origen que contiene la dirección de correo electrónico completa del usuario.
Para editar la reclamación requerida Unique User Identifier, consulta la documentación de Azure.
Agrega reclamaciones de usuario al token SAML.
Agregue las siguientes reclamaciones de usuario al token SAML que Microsoft Entra ID envía a Cloud Manager:
Importante
Los valores en la columna Nombre distinguen entre mayúsculas y minúsculas. Introdúcelos exactamente como se muestra.
Debes dejar el campo Namespace vacío para todas las reclamaciones de usuarios.
Nombre | Origen | Atributo de origen |
|---|---|---|
| Atributo |
|
| Atributo |
|
| Atributo |
|
Nota
Según la configuración de Active Directory, los atributos de origen que utilice pueden variar. Utilice los atributos de origen que contienen el nombre, apellido y dirección de correo electrónico completa del usuario para las notificaciones correspondientes.
Para agregar reclamaciones de usuario, consulta la documentación de Azure.
Opcional: agrega reclamaciones de grupo al token de SAML.
Omite este paso si no vas a usar la asignación de roles.
Para usar la asignación de roles, agregue la siguiente reclamación de grupo al token SAML que Microsoft Entra ID envía a Cloud Manager:
Haz clic en Add a group claim. Azure muestra el panel Group Claims.
En Which groups associated with the user should be returned in the claim?, haz clic en Security groups. Los grupos que puedes seleccionar dependen del tipo de grupos que configuraste en tu entorno Azure. Es posible que necesites seleccionar un tipo diferente de grupo para enviar la información adecuada del grupo.
En el Source attribute menú desplegable,Group Id seleccione. Si Group Id selecciona, Azure envía el identificador de objeto del grupo de seguridad, no el nombre legible del grupo. Según su entorno de Azure, puede seleccionar un atributo de origen diferente que envíe el nombre del grupo. Al crear asignaciones de roles en Cloud Manager, haga coincidir los datos del grupo de Azure enviados en la respuesta SAML con el nombre de la asignación de roles de MongoDB Atlas configurada.
Haz clic en Customize the name of the group claim de la sección Advanced options.
Establece Name en memberOf.
Deja Namespace en blanco.
Borra Emit groups as role claims.
Haga clic en Save.
Verifica que el certificado de firma SAML use SHA-256.
Para verificar que el certificado de firma SAML utiliza el algoritmo de firma SHA-256, consulta la documentación de Azure.
Agregar Microsoft Entra ID como proveedor de identidad en Cloud Manager
Utiliza la Federation Management Console y la consola de Azure para agregar Microsoft Entra ID como proveedor de identidad:
En MongoDB Cloud Manager, vaya a la Organization Settings página.
Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.
En la barra lateral, haga clic en Organization Settings.
Se muestra la página Configuración de la organización.
Agregue Microsoft Entra ID a Cloud Manager como proveedor de identidad.
Haga clic Add Identity Providers
Si aún no tiene ningún proveedor de identidad configurado, haga clic en Setup Identity Provider. De lo contrario, en la pantalla Identity Providers, haga clic en Add Identity Provider.
Introduce o selecciona los siguientes ajustes del protocolo SAML. Todos los campos son obligatorios:
CampoDescripciónConfiguration Name
Ingrese un nombre descriptivo, como Microsoft Entra ID.
IdP Issuer URI
Pegue el Microsoft Entra ID Identifier que copió de Azure anteriormente en el tutorial.
IdP Single Sign-On URL
Pegue el Login URL que copió de Azure anteriormente en el tutorial.
IdP Signature Certificate
Cargue el
Base64certificado de firma SAML codificado que descargó de Azure anteriormente en el tutorial.Puedes:
Subir el certificado desde el ordenador, o
Pegue el contenido del certificado en un cuadro de texto.
Request Binding
Seleccione HTTP POST.
Response Signature Algorithm
Seleccione SHA-256.
Haga clic en Next.
Carga el archivo de metadatos a Azure para terminar de configurar Microsoft Entra ID como proveedor de identidad.
Para cargar el archivo, consulte la captura de pantalla del paso 3 de "Habilitar el inicio de sesión único para una aplicación" en la documentación de Azure. Haga clic Upload metadata file en en la página de configuración de SSO, como se muestra en la captura de pantalla de la documentación de Azure vinculada.
Opcionalmente, se debe agregar una URL de RelayState al proveedor de identidad para enviar a los usuarios a una URL que se elijan y evitar redirecciones innecesarias después de iniciar sesión. Se puede utilizar:
Destino | URL de RelayState | |
|---|---|---|
Administrador de la nube MongoDB MongoDB | El Login URL que se generó para la configuración de su proveedor de identidad en la aplicación de administración de federación de MongoDB Cloud Manager. | |
Portal de soporte de MongoDB | | |
MongoDB University | | |
Foros de MongoDB Community | | |
Motor de comentarios de MongoDB | | |
MongoDB JIRA | |
Mapea tu dominio
Al asignar su dominio al IdP, Cloud Manager sabe que los usuarios de su dominio deben ser dirigidos a para la configuración de su Login URL proveedor de identidad.
Cuando los usuarios visitan la página de inicio de sesión de Cloud Manager, introducen su dirección de correo electrónico. Si el dominio de correo electrónico está asociado a un proveedor de identidad (IdP), se les redirige a la URL de inicio de sesión de dicho proveedor.
Importante
Puedes asignar un único dominio a varios proveedores de identidad. Si lo haces, los usuarios que inician sesión con la consola de MongoDB Cloud son redirigidos automáticamente al primer proveedor de identidad que coincida asignado al dominio.
Para iniciar sesión mediante un proveedor de identidad alternativo, debes:
Iniciar sesión en MongoDB Cloud a través del proveedor de identidad deseado
Inicia sesión con el Login URL asociado al proveedor de identidad deseado.
Utiliza la Federation Management Console para asignar tu dominio al proveedor de identidad:
En MongoDB Cloud Manager, vaya a la Organization Settings página.
Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.
En la barra lateral, haga clic en Organization Settings.
Se muestra la página Configuración de la organización.
Ingresa la información de mapeo del dominio.
Haga clic en Add a Domain.
En la pantalla Domains, haz clic en Add Domain.
Ingresa la siguiente información para el mapeo de tu dominio:
CampoDescripciónDisplay Name
Nombre para identificar fácilmente el dominio.
Nombre de dominio
Nombre de dominio para asignar.
Haga clic en Next.
Elige cómo verificar tu dominio.
Nota
Puedes elegir el método de verificación una vez. No se puede modificar. Para seleccionar otro método de verificación, borra y recrea el mapeo de dominio.
Selecciona la pestaña adecuada en función de si cargarás un archivo HTML o crearás un registro DNS TXT para verificar tu dominio:
Se puede cargar un archivo HTML que contenga una clave de verificación para verificar que se es el propietario del dominio.
Haga clic en HTML File Upload.
Haga clic en Next.
Descargue el archivo
mongodb-site-verification.htmlque proporciona Cloud Manager.Se puede cargar el archivo HTML en un sitio web del dominio. Se debe poder acceder al archivo en
<https://host.domain>/mongodb-site-verification.html.Haga clic en Finish.
Crea un registro DNS TXT con tu proveedor de dominio para verificar que eres el propietario de tu dominio. Cada registro DNS asocia una organización específica de Cloud Manager con un dominio específico.
Haga clic en DNS Record.
Haga clic en Next.
Copia el registro TXT proporcionado. El registro TXT tiene la siguiente forma:
mongodb-site-verification=<32-character string> Inicia sesión en tu proveedor de nombre de dominio (como GoDaddy.com o networksolutions.com).
Agregue el registro TXT que Cloud Manager proporciona a su dominio.
Regrese al Administrador de nube y haga clic en Finish.
Verifica tu dominio.
La Domains pantalla muestra los dominios verificados y no verificados que has asignado a tu IdP. Para verificar tu dominio, haz clic en el botón del dominio de Verify destino. Cloud Manager muestra si la verificación se realizó correctamente en un banner en la parte superior de la pantalla.
Asocia tu dominio con tu proveedor de identidad
Después de verificar correctamente tu dominio, usa la Federation Management Console para asociar el dominio con Microsoft Entra ID:
Prueba tu asignación de dominio
Importante
Antes de comenzar las pruebas, copie y guarde la URL de omisión del modo SAML para su IdP. Úsela para omitir la autenticación federada en caso de que se le bloquee el acceso a su organización de Cloud Manager.
Durante las pruebas, mantén iniciada la sesión en la Federation Management Console para evitar bloqueos.
Para aprender más sobre Bypass SAML Mode, consulta Modo de SAML de omisión.
Utiliza Federation Management Console para probar la integración entre tu dominio y Microsoft Entra ID:
Haga clic en Next.
Si asignaste tu dominio correctamente, serás redirigido a tu IdP para autenticarte. Si la autenticación con tu IdP es correcta, serás redirigido de nuevo a Cloud Manager.
Nota
Puedes omitir la página de inicio de sesión de Cloud Manager accediendo directamente a la página de tu IdP. Login URLLa página Login URL te lleva directamente a tu IdP para autenticarte.
(Opcional) Mapea una organización
Utilice Federation Management Console para asignar a los usuarios de su dominio acceso a organizaciones específicas de Cloud Manager:
En MongoDB Cloud Manager, vaya a la Organization Settings página.
Si aún no se muestra, selecciona la organización deseada en el menú Organizations de la barra de navegación.
En la barra lateral, haga clic en Organization Settings.
Se muestra la página Configuración de la organización.
Conecta una organización a la aplicación de la Federación.
Haga clic en View Organizations.
Cloud Manager muestra todas las organizaciones en las que eres
Organization Ownerun.Las organizaciones que aún no están conectadas a la aplicación de la Federación tienen el botón Connect en la columna Actions.
Haz clic en el botón Connect de la organización deseada.
Aplica un proveedor de identidad a la organización.
Desde la pantalla Organizations en la consola de administración:
Haga Name clic en el de la organización que desea asignar a un IdP.
En la pantalla Identity Provider, haz clic en Apply Identity Provider.
Cloud Manager lo dirige a la Identity Providers pantalla, que muestra todos los IdP que ha vinculado a Cloud Manager.
Para el proveedor de identidad que apliques a la organización, haz clic en Modify.
En la parte inferior del Edit Identity Provider formulario, seleccione las organizaciones a las que se aplica este IdP.
Haga clic en Next.
Haga clic en Finish.
(Opcional) Configura las opciones avanzadas de autenticación federada
Puedes configurar las siguientes opciones avanzadas para la autenticación federada para un mayor control sobre tus usuarios federados y el flujo de autenticación:
Nota
Las siguientes opciones avanzadas para la autenticación federada requieren que asignes una organización.
Inicia sesión en Cloud Manager utilizando tu URL de inicio de sesión
Todos los usuarios asignados a la aplicación de Azure pueden iniciar sesión en Cloud Manager con sus credenciales de Microsoft Entra ID Login URL en. Los usuarios tienen acceso a las organizaciones asignadas a su IdP.
Importante
Puedes asignar un único dominio a varios proveedores de identidad. Si lo haces, los usuarios que inician sesión con la consola de MongoDB Cloud son redirigidos automáticamente al primer proveedor de identidad que coincida asignado al dominio.
Para iniciar sesión mediante un proveedor de identidad alternativo, debes:
Iniciar sesión en MongoDB Cloud a través del proveedor de identidad deseado
Inicia sesión con el Login URL asociado al proveedor de identidad deseado.
Si selecciona un rol de organización por defecto, los nuevos usuarios que inicien sesión en Cloud Manager usando el Login URL tendrán el rol que especificaste.