OIDC (Federación de identidad de carga de trabajo)

Marcadores de posición de código

Los ejemplos de código en esta página utilizan los siguientes marcadores de posición:

• +srv: Incluir esta opción en el prefijo de su cadena de conexión solamente si está conectando a un clúster de MongoDB Atlas. Para obtener más información sobre la opción +srv, consulte Formatos de cadena de conexión en el manual del servidor de MongoDB.

• <Azure ID>ID de cliente o ID de la aplicación de la identidad gestionada de Azure o de la aplicación empresarial, si está realizando la autenticación con Azure IMDS.

• <hostname>: La dirección de red de tu implementación de MongoDB.

• <port>: El número de puerto de tu implementación de MongoDB. Si omites este parámetro, el driver usará el puerto por defecto (27017). No necesitas especificar un puerto al conectar a un clúster de MongoDB Atlas.

• <audience>:El valor del parámetro audience configurado en su implementación de MongoDB.

Para utilizar los ejemplos de código en esta página, reemplace estos marcadores de posición con sus propios valores.

IMDS de Azure

Si tu aplicación se ejecuta en una máquina virtual de Azure, o utiliza el Servicio de metadatos de instancia de Azure (IMDS), puedes autenticarte en MongoDB utilizando el soporte de funcionalidad incorporada para Azure de PyMongo.

Puedes configurar OIDC para Azure IMDS de dos maneras: pasando argumentos al constructor MongoClient o mediante parámetros en tu cadena de conexión.

properties = {"ENVIRONMENT": "azure", "TOKEN_RESOURCE": "<audience>"}

from pymongo import MongoClient
# define properties and MongoClient
properties = {"ENVIRONMENT": "azure", "TOKEN_RESOURCE": "<audience>"}
client = MongoClient(
    "mongodb[+srv]://<hostname>:<port>",
    username="<Azure ID>",
    authMechanism="MONGODB-OIDC",
    authMechanismProperties=properties
)

from pymongo import MongoClient
# define URI and MongoClient
uri = ("mongodb[+srv]://<hostname>:<port>/?"
       "username=<username>"
       "&authMechanism=MONGODB-OIDC"
       "&authMechanismProperties=ENVIRONMENT:azure,TOKEN_RESOURCE:<percent-encoded audience>")
client = MongoClient(uri)

GCP IMDS

Si tu aplicación se ejecuta en una máquina virtual de Google Compute Engine, o si utiliza el Servicio de metadatos de instancia de GCP, puedes autenticarte en MongoDB usando la compatibilidad de PyMongo con GCP con funcionalidad incorporada.

Puedes configurar OIDC para GCP IMDS de dos maneras: pasando argumentos al constructor MongoClient o a través de parámetros en tu cadena de conexión.

properties = {"ENVIRONMENT": "gcp", "TOKEN_RESOURCE": "<audience>"}

from pymongo import MongoClient
# define properties and MongoClient
properties = {"ENVIRONMENT": "gcp", "TOKEN_RESOURCE": "<audience>"}
client = MongoClient(
   "mongodb[+srv]://<hostname>:<port>",
   authMechanism="MONGODB-OIDC",
   authMechanismProperties=properties
)

from pymongo import MongoClient
# define URI and MongoClient
uri = ("mongodb[+srv]://<hostname>:<port>/?"
       "&authMechanism=MONGODB-OIDC"
       "&authMechanismProperties=ENVIRONMENT:gcp,TOKEN_RESOURCE:<percent-encoded audience>")
client = MongoClient(uri)

Otros entornos de Azure

Si su aplicación se ejecuta en Funciones de Azure, entorno de servicios de aplicaciones (ASE) o Servicio de Kubernetes de Azure (AKS), puede utilizar el paquete azure-identity para obtener credenciales de autenticación.

Primero, use pip para instalar la librería azure-identity, como se muestra en el siguiente ejemplo:

python3 -m pip install azure-identity

A continuación, define una clase que herede de la clase OIDCCallback. Esta clase debe implementar un método fetch(), que retorna el token OIDC en forma de un objeto OIDCCallbackResult.

El siguiente ejemplo muestra cómo definir una clase de función de retorno llamada MyCallback. Esta clase incluye un método fetch() que recupera un token OIDC de un archivo en la ubicación estándar del archivo de tokens de la cuenta de servicio.

audience = "<audience>"
client_id = "<Azure ID>"
class MyCallback(OIDCCallback):
    def fetch(self, context: OIDCCallbackContext) -> OIDCCallbackResult:
        credential = DefaultAzureCredential(managed_identity_client_id=client_id)
        token = credential.get_token(f"{audience}/.default").token
        return OIDCCallbackResult(access_token=token) 

Después de definir su clase de devolución de llamada, cree un diccionario de Python que contenga una clave, "OIDC_CALLBACK", cuyo valor sea una instancia de su clase de devolución de llamada personalizada:

properties = {"OIDC_CALLBACK": MyCallback()}

Por último, configure las siguientes opciones de conexión pasando los siguientes argumentos al constructor MongoClient:

• authMechanism:Establecer en "MONGODB-OIDC".

• authMechanismProperties: Establezca en el diccionario properties que creó en el paso anterior.

Selecciona el Synchronous o la pestaña Asynchronous para ver el código correspondiente:

client = MongoClient(
   "mongodb[+srv]://<hostname>:<port>",
   authMechanism="MONGODB-OIDC",
   authMechanismProperties=properties
)

client = AsyncMongoClient(
   "mongodb[+srv]://<hostname>:<port>",
   authMechanism="MONGODB-OIDC",
   authMechanismProperties=properties
)

GCP GKE

Si tu aplicación se ejecuta en un clúster de GCP Google Kubernetes Engine (GKE) con una cuenta de servicio configurada, puedes leer el token de OIDC desde la ubicación estándar del archivo de token de la cuenta de servicio.

Primero, defina una clase que herede de la clase OIDCCallback. Esta clase debe implementar un método fetch(), que devuelve el token OIDC como un objeto OIDCCallbackResult.

El siguiente ejemplo muestra cómo definir una clase de función de retorno llamada MyCallback. Esta clase incluye un método fetch() que recupera un token OIDC de un archivo en la ubicación estándar del archivo de tokens de la cuenta de servicio.

class MyCallback(OIDCCallback):
    def fetch(self, context: OIDCCallbackContext) -> OIDCCallbackResult:
        with open("/var/run/secrets/kubernetes.io/serviceaccount/token") as fid:
            token = fid.read()
        return OIDCCallbackResult(access_token=token)

Después de definir su clase de devolución de llamada, cree un diccionario de Python que contenga una clave, "OIDC_CALLBACK", cuyo valor sea una instancia de su clase de devolución de llamada personalizada:

properties = {"OIDC_CALLBACK": MyCallback()}

Finalmente, definir las siguientes opciones de conexión pasando los siguientes argumentos al constructor MongoClient:

• authMechanism:Establecer en "MONGODB-OIDC".

• authMechanismProperties: Establezca en el diccionario properties que creó en el paso anterior.

Selecciona la pestaña Synchronous o Asynchronous para ver el código correspondiente:

client = MongoClient(
   "mongodb[+srv]://<hostname>:<port>",
   authMechanism="MONGODB-OIDC",
   authMechanismProperties=properties
)

client = AsyncMongoClient(
   "mongodb[+srv]://<hostname>:<port>",
   authMechanism="MONGODB-OIDC",
   authMechanismProperties=properties
)

Kubernetes

Si tu aplicación se ejecuta en un clúster de Kubernetes, puedes autenticarte en MongoDB utilizando el soporte de Kubernetes incorporado de PyMongo.

Puede configurar OIDC para Kubernetes de dos maneras: pasando argumentos al constructor MongoClient o mediante parámetros en su cadena de conexión. Seleccione una de las siguientes pestañas para ver cómo habilitar la autenticación de Kubernetes para su aplicación:

properties = {"ENVIRONMENT": "k8s"}
client = MongoClient(
    "mongodb[+srv]://<hostname>:<port>",
    authMechanism="MONGODB-OIDC",
    authMechanismProperties=properties
)

uri = ("mongodb[+srv]://<hostname>:<port>/?"
       "authMechanism=MONGODB-OIDC"
       "&authMechanismProperties=ENVIRONMENT:k8s")
client = MongoClient(uri)

properties = {"ENVIRONMENT": "k8s"}
client = AsyncMongoClient(
    "mongodb[+srv]://<hostname>:<port>",
    authMechanism="MONGODB-OIDC",
    authMechanismProperties=properties
)

uri = ("mongodb[+srv]://<hostname>:<port>/?"
       "authMechanism=MONGODB-OIDC"
       "&authMechanismProperties=ENVIRONMENT:k8s")
client = AsyncMongoClient(uri)

Si se especifica Kubernetes OIDC como el mecanismo de autenticación, el driver lee el contenido del token OIDC desde una de las siguientes ubicaciones:

• AZURE_FEDERATED_TOKEN_FILE Variable de entorno para aplicaciones que se ejecutan en Azure Kubernetes Service (AKS)

• AWS_WEB_IDENTITY_TOKEN_FILE Variable de entorno para aplicaciones que se ejecutan en Elastic Kubernetes Service (EKS)

• /var/run/secrets/kubernetes.io/serviceaccount/token archivo, la ubicación predeterminada para todas las demás aplicaciones, incluidas las que se ejecutan en Google Kubernetes Engine (GKE)

Debes almacenar tu token OIDC en la ubicación que corresponda al servicio que utilizas para ejecutar tu aplicación.