Configurar OIDC para la autenticación de la fuerza laboral

Registrar una aplicación

1. Ir a App registrations.

   1. En tu cuenta del portal de Azure, busca y haz clic en Microsoft Entra ID.

   2. En la sección Manage de la navegación izquierda, hacer clic en App registrations.

2. Haga clic en New registration.

3. Aplicar los siguientes valores.

   Campo	Valor
   Name	MongoDB - Workforce
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - Para acceder a los clústeres usando MongoDB Compass y MongoDB Shell, establezca Redirect URI en http://localhost:27097/redirect.

4. Haga clic en Register.

Para aprender más sobre cómo registrar una aplicación, se puede consultar Azure Documentation.

Agregar un reclamo de grupo

1. Ir a Token Configuration.

   En la sección Manage de la navegación izquierda, hacer clic en Token Configuration.

2. Haga clic en Add groups claim.

3. En el cuadro modal Edit groups claim, seleccionar Security.

   Los grupos que seleccione dependen del tipo de grupos que haya configurado en su entorno de Azure. Es posible que necesite seleccionar un tipo diferente de grupo para enviar la información de grupo adecuada.

4. En la sección Customize token properties by type, seleccionar solo Group ID.

5. Haga clic en Add.

Para aprender más sobre cómo agregar una reclamación de grupo, se puede consultar Documentación de Azure.

Añade una declaración de identificador de usuario al token de acceso

1. Haga clic en Add optional claim.

2. En el cuadro modal Add optional claim, seleccionar Access.

3. Seleccionar una reclamación que lleve un identificador de usuario al que se pueda referir en los registros de acceso de MongoDB, como un correo electrónico.

   Se puede usar la reclamación UPN para identificar a los usuarios con su dirección de correo electrónico.

4. Haga clic en Add.

5. En la nota Microsoft Graph Permissions, marque la casilla y haga clic en Add.

Para aprender más, se puede consultar la documentación de Azure.

Actualiza el manifiesto

1. En la sección Manage de la navegación izquierda, hacer clic en Manifest.

2. Actualizar el requestedAccessTokenVersion de null a 2.

   El número 2 representa la versión 2 de los tokens de acceso de Microsoft. Otras aplicaciones pueden utilizar esto como una declaración firmada de la identidad del usuario gestionado por el Directorio de Active. La versión 2 garantiza que el token sea un JSON Web Token que MongoDB comprenda.

3. Haga clic en Save.

Para obtener más información sobre cómo agregar una reclamación opcional, consulte la documentación de Azure.

Recuerda los metadatos

1. En la navegación izquierda, hacer clic en Overview.

   Copiar el valor de Application (client) ID.

2. En la navegación superior, haga clic en Endpoints.

   Copie el valor OpenID Connect metadata document sin la parte /.well-known/openid-configuration.

   También se puede obtener este valor copiando el valor de issuer en la URL OpenID Connect metadata document.

La siguiente tabla muestra a qué corresponden estos valores de la Interfaz de Usuario de Microsoft Entra ID en el parámetro oidcIdentityProviders de MongoDB:

Crea una aplicación en Okta

En tu tablero de Okta Admin, utiliza el panel de navegación izquierdo para ir a Applications → Applications.

1. En la pantalla Applications, haz clic en Create App Integration.

2. En la sección Sign-in method, seleccione OIDC - OpenID Connect.

3. En la sección Application type, seleccione Native Application.

4. Haga clic en Next.

Para obtener más información, consulte Crear integraciones de aplicaciones OIDC.

Configura tu New Native App Integration

Después de crear una integración de aplicación, se te redirige automáticamente a la pantalla New Native App Integration.

1. En el campo App integration name, ingresa un nombre para la aplicación.

2. En el campo Grant type, selecciona los tipos de subvención.

   Habilitar los siguientes tipos de concesión:

   • Authorization Code or Device Authorization

   • (Opcional) Refresh Token

     Habilitar tokens de actualización brinda una mejor experiencia de usuario. Cuando los tokens de actualización no están habilitados, los usuarios deben volver a autenticarse con el proveedor de identidad una vez que su token de acceso expire.

3. En la sección Sign-in redirect URIs, introduce una URL.

   Introduce la siguiente URL: http://localhost:27097/redirect.

4. En la sección Assignments, configure los campos Controlled access y Enable immediate access.

   1. Para el campo Controlled access, seleccione Allow everyone in your organization to access.

   2. Para el campo Enable immediate access, asegúrate que Enable immediate access with Federation Broker Mode esté marcado.

5. Haga clic en Save.

Para obtener más información,consulte Crear integraciones de aplicaciones OIDC.

Configura PKCE y obtén el ID de cliente

En el panel de su aplicación, vaya a la pestaña General y configure lo siguiente:

1. En el campo Client ID, haga clic en el icono para copiar el ID de cliente para su uso posterior.

2. En el campo Proof Key for Code Exchange (PKCE), asegúrese de que Require PKCE as additional verification esté habilitado (marcado por defecto).

Agrega un servidor de autorización

En el panel de navegación izquierdo, ve a Security → API. Haz clic en Add Authorization Server.

1. En el campo Name ingrese un nombre para su servidor.

2. En el campo Audience, pega el ID del cliente del paso anterior.

3. (Opcional) En el campo Description, introduzca una descripción de su servidor.

4. Haga clic en Save.

Para más información, consulte Cree un servidor de autorización.

Encuentra y guarda la URI del emisor

Después de crear tu servidor de autorización, eres redirigido automáticamente a la pantalla de tu servidor de autorización.

En la pestaña Settings, guarda el URI del emisor copiando la primera parte del Metadata URI hasta la sección .well-known. La estructura de URI debe ser similar a: https://trial4238026.okta.com/oauth2/ausabgmhveoOQSMsE697.

Agregar reclamación Groups

En la pantalla de tu servidor de autorización, ve a la pestaña Claims y haz clic en Add Claim.

1. Configura el reclamo de Groups con la siguiente información de configuración:

   Campo	Valor
   Name	Escribe un nombre para tu propuesta.
   Include in token type	Haz clic en el menú desplegable y selecciona Access Token.
   Value type	Haz clic en el menú desplegable y selecciona Groups.
   Filter	Haz clic en el desplegable y selecciona Matches regex. Junto al menú desplegable, introduce .*.
   Disable claim	No marcar.
   Include in	Seleccione Any scope.

2. Haga clic en Create.

Para obtener más información, consulta Crear reclamos.

Crear una política de acceso

En la pantalla de tu servidor de autorización, ve a la pestaña Access Policies y haz clic en Add Policy.

1. En el campo Name, introduce un nombre de política.

2. En el campo Description, introduce una descripción de la política.

3. En el campo Assign to, seleccione All clients.

4. Haga clic en Create Policy.

Para obtener más información, consulte Crear una política de acceso.

Crear una regla para la política de acceso

En la pestaña Access Policies, haz clic en Add Rule.

1. En el campo Rule Name, ingresa un nombre para la política de acceso.

2. Para IF Grant Type is, seleccione un tipo de concesión.

   Al configurar tipos de permisos, seleccione la opción adecuada basada en el comportamiento del cliente:

   • Si el cliente actúa en nombre propio, seleccione Client Credentials.

   • Si el cliente actúa en nombre de un usuario, selecciona lo siguiente:

     • Authorization Code

     • Device Authorization

3. Agrega configuraciones de reglas basadas en la política de seguridad de tu organización.

   Ejemplo de configuración de regla de Okta:

   Campo	Valor
   AND user is	Seleccione Any user assigned to the app.
   AND Scopes requested	Seleccione Any scopes.
   THEN Use this inline hook	Ninguna (deshabilitada)
   AND Access token lifetime is	1 Hours
   AND Refresh token lifetime is	Haz clic en el segundo desplegable y selecciona Unlimited.
   but will expire if not used every	Introduce 7 days.

4. Haga clic en Create Rule.

Para obtener más información, consulte Crear reglas para cada política de acceso.

Crear un grupo

En el panel de navegación izquierdo, ve a Directory → Groups y haz clic en Add Group.

1. En el campo Name, nombrar tu directorio OIDC.

2. (Opcional) En el campo Description, ingresa una descripción para tu regla.

3. Haga clic en Save.

Para obtener más información, consulte Crear un grupo.

Agregar un usuario a su organización

En el panel de navegación izquierdo, ve a Directory → People y haz clic en Add Person.

1. Proporcione los datos del usuario ingresando los siguientes valores en los campos correspondientes:

   Campo	Valor
   User type	Seleccione User.
   First name	Proporcione el nombre según sea necesario.
   Last name	Proporcione el nombre según sea necesario.
   Username	Introduzca un correo electrónico como nombre de usuario.
   Primary email	Ingrese un correo electrónico. El correo electrónico debe ser el mismo que se utilizó para el campo Username.
   Secondary email	Opcional.
   Groups	Introduce OIDC.
   Activation	Selecciona Activate Now y verifica I will set password.
   Password	Ingresa una contraseña.
   User must change password on first login	Seleccionar Optional

2. Haga clic en Save.

Para obtener más información, consulta Añadir usuarios manualmente.

Registra una nueva aplicación para MongoDB

Seleccione public client/native application como el tipo de cliente.

Establezca el valor Redirect URL en http://localhost:27097/redirect.

(Condicional) Agregue o habilite una reclamación groups si se autentica con grupos

Para los grupos, este paso garantiza que los tokens de acceso contengan la información de membresía del grupo del usuario que se autentica. MongoDB utiliza los valores enviados en una reclamación de grupos para la autorización.

(Opcional) Permitir tokens de renovación si deseas que los clientes de MongoDB renueven los tokens para una mejor experiencia del usuario

(Opcional) Configure el tiempo de vida del token de acceso (exp claim) para alinearlo con el tiempo de sesión de su conexión a la base de datos