Carga de trabajo Identity Federation permite que tus aplicaciones accedan a las implementaciones de MongoDB Cloud Manager utilizando identidades programáticas externas, como Principals de Servicio de Azure, identidades gestionadas de Azure y cuentas de servicio de Google.
Cómo funciona
La federación de identidad de cargas de trabajo permite que tus aplicaciones accedan a implementaciones de MongoDB con tokens de acceso OAuth 2.0. Los tokens de acceso pueden ser emitidos por cualquier proveedor externo de identidad, incluidos Azure Entra ID y Google Cloud Platform. Cloud Manager almacena los identificadores de usuario y los privilegios, pero no los secretos. Este mecanismo de autenticación para tus aplicaciones sólo es compatible con algunos controladores de MongoDB.
Los drivers MongoDB admiten dos tipos de flujo de autenticación para Workload Identity Federation: autenticación incorporada y autenticación de función de retorno.
Autenticación incorporada
Puedes utilizar la autenticación incorporada si implementas tu aplicación en una infraestructura admitida con un tipo principal compatible. Su aplicación puede acceder a las implementaciones de Cloud Manager sin proporcionar una contraseña ni solicitar manualmente una JWT del servicio de metadatos de tu proveedor de la nube. En su lugar, el controlador de MongoDB que hayas elegido utiliza el identificador de entidad principal para solicitar un token de acceso JWT internamente, que luego se traslada automáticamente a la implementación de Cloud Manager cuando tu aplicación se conecta.
Para más detalles sobre la implementación, consulta la documentación del controlador que hayas elegido.
Infraestructura y tipos principales compatibles con la autenticación incorporada
Proveedor de nube | Tipo de infraestructura | Tipo principal |
|---|---|---|
GCP | Motor de cómputo | Cuentas de servicio de GCP |
Entorno estándar del motor de la aplicación | ||
Entorno flexible del motor de la aplicación | ||
Funciones en la nube | ||
Cloud Run | ||
Google Kubernetes Engine | ||
Cloud Build | ||
Azure | Azure VM | Identidades gestionadas de Azure (asignadas al usuario y al sistema) |
Autenticación de función de retorno
Puede usar la autenticación por devolución de llamada con cualquier servicio compatible con 2.0 tokens de acceso OAuth. Workload Identity Federation llama a un método de devolución de llamada, en el que puede solicitar el JWT necesario a su servidor de autorización o proveedor de nube, que debe pasar cuando su aplicación se conecta a Cloud Manager con Workload Identity Federation.
Por favor, revise la documentación del controlador de su elección para obtener detalles adicionales sobre la implementación.
Acceso requerido
Para configurar la Federación de Identidades de Carga de Trabajo, debes contar con
Project Owner acceso al Cloud Manager.
Requisitos previos
Debes tener lo siguiente:
MongoDB 7.0 o posterior.
Al menos otro mecanismo de autenticación con el MongoDB Agent configurado.
Nota
El Agente de MongoDB no puede conectarse a su implementación mediante OIDC. Debe habilitar un mecanismo de autenticación adicional para el Agente de MongoDB. Si Cloud Manager no administra la monitorización ni la copia de seguridad, debe configurarlas manualmente para que usen el mecanismo de autenticación alternativo.
Procedimientos
Para configurar la Federación de identidades de cargas de trabajo, completa los siguientes pasos:
Configurar un proveedor de identidad de carga de trabajo (configuración única).
Concede acceso a identidades externas (principales de usuario) o grupos.
Configurar una aplicación de Proveedor de Identidad Externo
Nota
Para restablecer la autenticación y la configuración de TLS de tu proyecto, primero desadministra cualquier implementación de MongoDB que Cloud Manager administre en tu proyecto.
Para acceder a las implementaciones de Cloud Manager con identidades administradas de Azure o principales de servicio de Azure, necesita registrar una aplicación Azure Entra ID. Si ya tienes un registro de aplicación para el acceso de carga de trabajo (usuario humano), se recomienda registrar una aplicación separada para el acceso de carga de trabajo.
Registre una aplicación.
Navegar a App registrations.
En tu Portal de Azurecuenta, busque y Microsoft Entra ID haga clic en.
En la sección Manage de la navegación izquierda, hacer clic en App registrations.
Haga clic en New registration.
Aplicar los siguientes valores.
CampoValorName
Cloud Manager Database - Workload
Supported Account Types
Accounts in this organizational directory only (single tenant)
Redirect URI
Web
(Opcional) Agregar reclamaciones de grupos.
Es una de las mejores prácticas utilizar los identificadores de principal del servicio como identificadores de usuario de MongoDB al definir derechos de acceso en Cloud Manager. Si planeas usar este enfoque común, salta este paso. Sin embargo, si prefieres usar identificadores de grupo como el identificador del Grupo de seguridad de Microsoft Entra ID, puedes establecer el reclamo de grupos en el registro de tu aplicación con los siguientes pasos.
Ir a Token Configuration.
En la sección Manage de la navegación izquierda, hacer clic en Token Configuration.
Haga clic en Add groups claim.
En el cuadro modal Edit groups claim, seleccionar Security.
Los grupos que seleccione dependen del tipo de grupos que haya configurado en su entorno de Azure. Es posible que necesite seleccionar un tipo diferente de grupo para enviar la información de grupo adecuada.
En la sección Customize token properties by type, es importante que se seleccione solo Group ID.
Si seleccionas Group Id, Azure envía el ID de objeto del grupo de seguridad.
Haga clic en Add.
Para aprender más sobre cómo agregar una reclamación de grupo, se puede consultar Documentación de Azure.
Habilitar un URI de ID de la aplicación.
Ir a Expose an API en la barra lateral izquierda y activar el URI del ID de la aplicación.
Habilitar un URI de ID de la aplicación.
Mantén el URI de ID de aplicación por defecto asignado por Azure, que es
<application_client_id>. Copia y almacena este valor, ya que Cloud Manager y todos los drivers de MongoDB lo requieren para la configuración de la Federación de Identidad de Cargas de Trabajo.
Actualizar el manifiesto.
En la sección Manage de la navegación izquierda, hacer clic en Manifest.
Actualizar el accessTokenAcceptedVersion de
nulla2.El número
2representa la versión 2 de los tokens de acceso de Microsoft. Otras aplicaciones pueden utilizar esto como una declaración firmada de la identidad del usuario gestionado por el Directorio de Active. La versión 2 garantiza que el token sea un JSON Web Token que MongoDB comprenda.Haga clic en Save.
Para aprender más sobre cómo agregar una reclamación opcional, se puede consultar Documentación de Azure.
Recuerde los metadatos.
En la navegación izquierda, hacer clic en Overview.
En la navegación superior, haga clic en Endpoints.
Copie el valor OpenID Connect metadata document sin la parte
/.well-known/openid-configuration.También puedes recuperar este valor siguiendo la OpenID Connect metadata document URL y copiando el valor de
issuer.
La siguiente tabla muestra a qué propiedades de configuración de Cloud Manager se asignan estos valores de la interfaz de usuario de Microsoft Entra ID.
Microsoft Entra ID UI | Propiedad de configuración de Cloud Manager |
|---|---|
OpenID Connect metadata document (without /.well-known/openid-configuration) | Issuer URI. |
Application ID URI (<Application ID>) | Audience |
No se necesita realizar ningún cambio de configuración en tu cuenta de GCP.
Configura la autenticación de Workload Identity Federation
Nota
La Federación de Identidad de Carga de Trabajo solo admite JWT para autenticación. No admite tokens de acceso opacos.
Para configurar un proveedor de identidad federado para la identidad de las cargas de trabajo con Azure Entra ID en Cloud Manager:
Navegue al cuadro de diálogo Security Settings para su implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realiza una de las siguientes acciones:
Si esta es la primera vez que configura TLS, autenticación o configuración de autorización para este proyecto, haz clic en Get Started.
Si ya se ha configurado la autenticación TLS, o la configuración de autorización para este proyecto, haga clic en Edit.
Opcional: Especifica la configuración TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta de archivo CA TLS | El archivo de la Autoridad Certificadora TLS es un archivo de certificado en formato La clave privada cifrada para el archivo de certificado Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especifica, el clúster utiliza
| ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB habilitadas para TLS. Cada implementación de MongoDB verifica los certificados de estos hosts cliente cuando intentan conectarse. Si eliges exigir los certificados TLS del cliente, asegúrate de que sean válidos. Los valores aceptados son:
|
Introduce la siguiente configuración.
Configuración | Necesidad | Valor |
|---|---|---|
Configuration Name | Requerido | Etiqueta única que identifica esta configuración. Esta etiqueta es visible para los usuarios de tu Cloud Manager y se utiliza al crear usuarios y roles para la autorización. Es sensible a mayúsculas y minúsculas y solo puede contener los siguientes caracteres:
Después de guardar la configuración, no puedes editar el nombre de la configuración. |
Issuer URI | Requerido | El valor del emisor proporcionado por la aplicación del proveedor de identidad que se tenga registrado. Usando este URI, MongoDB encuentra un Documento de Configuración del Proveedor de OpenID, que debería estar disponible en el endpoint |
Audience | Requerido | Entidad para la cual el proveedor de identidad externo destina el token. Ingresar el valor de |
Tipo de autorización | Requerido | Seleccionar Es más común usar |
Customize User Claim | Requerido | El identificador de la reclamación que incluye la identidad principal del usuario. Acepte el valor por defecto a menos que su IdP utilice una reclamación diferente. Por defecto: |
Customize Group Claim | Requerido | Se requiere si selecciona Por defecto: |
Para configurar un proveedor de identidad de federación de identidad de cargas de trabajo con GCP en Cloud Manager:
Navegue al cuadro de diálogo Security Settings para su implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realiza una de las siguientes acciones:
Si esta es la primera vez que configura TLS, autenticación o configuración de autorización para este proyecto, haz clic en Get Started.
Si ya se ha configurado la autenticación TLS, o la configuración de autorización para este proyecto, haga clic en Edit.
Opcional: Especifica la configuración TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta de archivo CA TLS | El archivo de la Autoridad Certificadora TLS es un archivo de certificado en formato La clave privada cifrada para el archivo de certificado Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especifica, el clúster utiliza
| ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB habilitadas para TLS. Cada implementación de MongoDB verifica los certificados de estos hosts cliente cuando intentan conectarse. Si eliges exigir los certificados TLS del cliente, asegúrate de que sean válidos. Los valores aceptados son:
|
Introduce la siguiente configuración.
Configuración | Necesidad | Valor |
|---|---|---|
Configuration Name | Requerido | Etiqueta única que identifica esta configuración. Esta etiqueta es visible para los usuarios de tu Cloud Manager y se utiliza al crear usuarios y roles para la autorización. Es sensible a mayúsculas y minúsculas y solo puede contener los siguientes caracteres:
Después de guardar la configuración, no puedes editar el nombre de la configuración. |
Issuer URI | Requerido | Introducir el URI |
Audience | Requerido | Especificar cualquier valor personalizado. El parámetro Audience se usa al llamar a los controladores de MongoDB |
Tipo de autorización | Requerido | Seleccionar Es más común usar |
Customize User Claim | Requerido | No modifique el valor por defecto, Por defecto: |
Configurar autorización OIDC
MongoDB no crea explícitamente usuarios de base de datos para OIDC. Asocia los usuarios de OIDC con los roles de MongoDB en función de la configuración.
Selecciona una pestaña según el tipo de autorización que hayas seleccionado al configurar la autenticación OIDC.
Si seleccionó el tipo de autorización User ID, cree un nuevo usuario para otorgar autorización a un usuario individual:
Navega a la pestaña MongoDB Users para tu implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña MongoDB Users.
Agregue el usuario OIDC.
Nota
Antes de agregar usuarios, asegúrese de haber creado todos los roles que desea asignarles.
Completa los campos de la cuenta de usuario:
CampoDescripciónIdentifier
En el primer campo, introduce la base de datos
$external.En el segundo campo, introduce un nombre de usuario utilizando tu OIDC proveedor de identidad nombre de configuración y la declaración principal del usuario de tu configuración separada por una barra
/:{configuration_name}/{user_principal_claim}
Roles
Ingrese cualquier rol definido por el usuario disponible y roles integrados en este cuadro. El cuadro combinado proporciona una lista de roles existentes cuando haces clic en él.
Authentication Restrictions
Haga clic en Add Entry.
Agregue una o más direcciones IP o bloques CIDR en los cuadros Client Source Server Address o. Separe las direcciones o bloques con comas.
Client Source restringe las direcciones desde las cuales este usuario puede autenticarse y usar los roles asignados.
Server Address restringe las direcciones desde las que este usuario puede autenticarse y tener los roles asignados.
Haga clic en Save.
Para añadir otra entrada, haz clic en Add Entry.
Haga clic en Add User.
Si seleccionaste el tipo de autorización Group Membership, completa los siguientes pasos para crear un rol personalizado que otorgue autorización según la membresía en el grupo de usuarios de proveedor de identidad:
Navega a la pestaña MongoDB Roles para tu implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña MongoDB Roles.
Crea el rol OIDC.
Introduce los siguientes campos:
CampoNecesidadDescripciónIdentifier
Requerido
En el recuadro Database, introduzca
admin.En el cuadro Name, introduzca su nombre de configuración de OIDC IdP y el nombre del grupo de su proveedor de identidad externo, separados por una barra diagonal
/:{configuration_name}/{group_name} Inherits From
Opcional
Una lista de pares de nombres de roles y bases de datos. El formato para estos pares es
roleName@dbName.Authentication Restrictions
Opcional
Una lista de direcciones IP o notaciones CIDR que desees restringir desde tu proveedor de identidad.
Privilege Actions by Resource
Opcional
Acciones permitidas en el recurso.
Para obtener más información,consulte Acciones de privilegio.
Haga clic en Add Role.
Conecta una aplicación a MongoDB con Federación de identidades de carga de trabajo
Usa los siguientes controladores de MongoDB para conectar una aplicación a MongoDB con autenticación por Federación de Identidad de Carga de Trabajo:
Gestionar una configuración existente de Workload Identity Federation
Para administrar la configuración de tu Workload Identity Federation, puedes realizar las siguientes acciones.
Revoke JWKS
Nota
No use esta funcionalidad para rotar las claves de firma. Cuando gire las claves de firma OIDC proveedor de identidad, MongoDB obtiene la JWKS automáticamente una vez vencidos los tokens de acceso existentes.
Si la llave privada está comprometida, se pueden revocar inmediatamente los conjuntos de llaves web JSON (JWKS) almacenados en caché en los nodos de MongoDB:
En MongoDB Cloud Manager, ir a la página Security del proyecto.
Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Security en la sección Database.
Se muestra la página de Seguridad.
Edite una configuración
Para editar tu configuración de carga de trabajo Identity Federation:
En MongoDB Cloud Manager, ir a la página Security del proyecto.
Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Security en la sección Database.
Se muestra la página de Seguridad.
Borrar una configuración
Para borrar tu configuración de Workload Identity Federation:
En MongoDB Cloud Manager, ir a la página Security del proyecto.
Si aún no se muestra, seleccione la organización que contiene su proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no aparece, selecciona el proyecto deseado en el menú Projects de la barra de navegación.
En la barra lateral, haz clic en Security en la sección Database.
Se muestra la página de Seguridad.