Para agentes de IA: hay un índice de documentación disponible en https://www.mongodb.com/es/docs/llms.txt — versiones en markdown de todas las páginas están disponibles agregando .md a cualquier ruta URL.
Docs Menu
Docs Home
/ /
Seguridad
Docs Home
/
Gestión
/
Gerente de Operaciones
/
Seguridad
Docs Home
/
Gestión
/
Gerente de Operaciones
/
Seguridad

Configurar usuarios de Ops Manager para la autenticación OIDC

Overview

Puedes usar OpenID Connect(OIDC) para gestionar la autenticación y autorización de usuarios de Ops Manager con un proveedor de identidades (IdP) externo.Cuando intentas acceder a Ops Manager sin una sesión autenticada, Ops Manager te redirige a tu IdP para iniciar sesión. Tras autenticarte, vuelves a Ops Manager.

Este tutorial describe cómo:

  • Configure la autenticación OIDC para Ops Manager.

  • Asigne los grupos de OIDC a las funciones de la organización del administrador de operaciones y a las funciones del proyecto.

  • Gestiona las asignaciones de roles de organización y proyecto con la API pública.

Considerations

Utilice HTTPS para OIDC.

Se recomienda encarecidamente el uso de HTTPS para Ops Manager en general, y especialmente para OIDC. Algunas integraciones con proveedores de identidad podrían no funcionar correctamente si Ops Manager no utiliza HTTPS.

Requisitos previos

Para configurar la integración con OIDC, debe realizar las siguientes acciones en su IdP:

1

Crea una aplicación de cliente para Ops Manager.

Agrega tu URL de Ops Manager a la lista de URIs de redirección permitidas.

2

(Condicional) Cree un usuario que se relacione con su MongoDB Ops Global Owner Manager.

Este paso solo es necesario si necesitas conservar el mismo usuario.

3

Cree un grupo para el rol de Global Owner y añada el usuario a él.

4

Crea grupos para otros roles según sea necesario.

Procedimiento

Para configurar la autenticación OIDC:

1

Seleccione OIDC como método de autenticación.

En Ops Manager:

  1. Haz clic en Admin, General, Ops Manager Config, User Authentication.

  2. Configura la opción User Authentication Method en OIDC.

2

Configure los ajustes de conexión OIDC.

Especifica valores para los campos obligatorios y luego establece los campos opcionales según sea necesario.

La siguiente tabla asigna los campos de la interfaz de usuario de Ops Manager a los campos del archivo de configuración.

Campo de la IU de Ops Manager
Campo de archivo de configuración
Requerido
Descripción
Issuer URI

mms.oidc.issuer.uri

Sí

URI del emisor o URL del documento de descubrimiento de metadatos OIDC.

Client ID

mms.oidc.client.id

Sí

Identificador de cliente asignado al Administrador de Operaciones por el IdP.

Client Secret

mms.oidc.client.secret

Sí

Secreto de cliente asignado al administrador de operaciones por el proveedor de identidad (IdP).

Custom CA Certificate (PEM)

mms.oidc.customCaCertificate

No

Certificado o certificados de CA codificados en PEM en los que confiar al conectarse al IdP. Utilice esta opción cuando su IdP utilice un certificado de CA autofirmado o privado. Puede concatenar varios certificados.

Enable PKCE (Proof Key for Code Exchange)

mms.oidc.pkce.enabled

Sí

Habilitación de PKCE para el flujo de código de autorización. Recomendado y habilitado por defecto. Desactívelo solo si su IdP no admite PKCE para clientes confidenciales. Valor predeterminado: true.

Requested Scopes

mms.oidc.requestedScopes

No

Lista de alcance que Ops Manager solicita desde el endpoint de autorización.

Service Provider Base URL

mms.oidc.sp.baseUrl

No

URL base para el proveedor de servicios OIDC. Si no especifica este valor, Ops Manager utilizará mms.centralUrl. Utilice esta opción cuando necesite URL diferentes para acceder a Ops Manager.

Global Role Owner Groups

mms.oidc.global.role.owner

Sí

Lista separada por comas de grupos de proveedores de identidad cuyos miembros tienen asignado el rol de Propietario Global. Los Propietarios Globales tienen privilegios completos sobre esta implementación, incluidos todos los permisos administrativos.

Global Automation Admin Groups

mms.oidc.global.role.automationAdmin

No

Lista separada por comas de grupos de proveedores de identidad (IdP) cuyos miembros tienen asignado el rol de administrador de automatización global.

Global Backup Admin Groups

mms.oidc.global.role.backupAdmin

No

Lista separada por comas de grupos de proveedores de identidad (IdP) cuyos miembros tienen asignado el rol de administrador de copia de seguridad global.

Global Monitoring Admin Groups

mms.oidc.global.role.monitoringAdmin

No

Lista separada por comas de grupos de proveedores de identidad (IdP) cuyos miembros tienen asignado el rol de administrador de monitoreo global.

Global User Admin Groups

mms.oidc.global.role.userAdmin

No

Lista separada por comas de grupos de proveedores de identidad (IdP) cuyos miembros tienen asignado el rol de administrador global de usuarios.

Global Read Only Groups

mms.oidc.global.role.readOnly

No

Lista separada por comas de grupos de proveedores de identidad cuyos miembros tienen asignado el rol de solo lectura global.

OIDC Claim for User First Name

mms.oidc.user.claims.firstName

No

Reclamación que contiene el primer nombre del usuario. Valor por defecto: given_name.

OIDC Claim for User Last Name

mms.oidc.user.claims.lastName

No

Reclamo que contiene el apellido del usuario. Valor por defecto: family_name.

OIDC Claim for User Email

mms.oidc.user.claims.email

No

Declaración que contiene la dirección de correo electrónico del usuario. Valor por defecto: email.

OIDC Claim for Group Member

mms.oidc.group.claims.member

No

Reclamo que contiene la lista de grupos que Ops Manager utiliza para asignar roles a proyectos y organizaciones. Valor por defecto: groups.

3

Asignar los grupos de OIDC a las funciones de la organización y del proyecto.

Asocie los grupos de OIDC con roles de organización y roles de proyecto en la interfaz de usuario de Ops Manager.

Nota

Si migra de SAML a OIDC, Ops Manager conservará sus asignaciones existentes.

Cómo funcionan los mapeos de roles

Las asignaciones de roles de OIDC funcionan de la misma manera que las asignaciones de roles de SAML. Se asignan grupos de IdP a roles de Ops Manager para organizaciones y proyectos. Cuando un usuario inicia sesión, Ops Manager le asigna roles según su pertenencia a grupos.

Mapeos de roles organizacionales

Las asignaciones de roles de la organización asocian a los grupos de proveedores de identidad con los roles de la organización.

Los campos de mapeo de la organización incluyen:

  • Grupos OIDC para el rol de propietario de la organización

  • Grupos OIDC para el rol de creador de proyecto de organización

  • Grupos OIDC para el rol de solo lectura de la organización

  • Grupos OIDC para el rol de miembro de la organización

Asignaciones de roles de proyecto

Las asignaciones de roles del proyecto asocian a los grupos de proveedores de identidad con los roles del proyecto.

Los campos de mapeo del proyecto incluyen:

  • Grupos OIDC para el rol de propietario del proyecto

  • Grupos OIDC para el rol de solo lectura

  • Grupos OIDC para el rol de Administrador de automatización

  • Grupos OIDC para el rol de administrador de copia de seguridad

  • Grupos OIDC para el rol de administrador de supervisión

  • Grupos OIDC para el rol de administrador de usuarios

  • Grupos OIDC para el rol de administrador de acceso a datos

  • OIDC Groups para acceso a los datos Read guardar rol

  • Grupos OIDC para el rol de acceso a los datos de solo lectura

Gestionar asignaciones de roles con la API pública

Puede administrar las asignaciones de roles de IdP mediante programación utilizando el campo idpGroupMappings en las siguientes API públicas:

El campo idpGroupMappings es una matriz que asigna roles de Ops Manager a grupos de IdP.

{
  "idpGroupMappings": [
    {
      "idpGroups": [
        "name_of_your_idp_group",
        "another_name_of_idp_group"
      ],
      "roleName": "GROUP_USER_ADMIN"
    }
  ]
}

Los siguientes valores son válidos para la organización roleName:

  • ORG_OWNER

  • ORG_GROUP_CREATOR

  • ORG_BILLING_ADMIN

  • ORG_READ_ONLY

  • ORG_MEMBER

Los siguientes valores son válidos para el proyecto roleName:

  • GROUP_OWNER

  • GROUP_READ_ONLY

  • GROUP_AUTOMATION_ADMIN

  • GROUP_BACKUP_ADMIN

  • GROUP_MONITORING_ADMIN

  • GROUP_USER_ADMIN

  • GROUP_BILLING_ADMIN

  • GROUP_DATA_ACCESS_ADMIN

  • GROUP_DATA_ACCESS_READ_ONLY

  • GROUP_DATA_ACCESS_READ_WRITE

  • GROUP_CHARTS_ADMIN

  • GROUP_CLUSTER_MANAGER

  • GROUP_SEARCH_INDEX_EDITOR

Cierre de sesión en segundo plano

Ops Manager admite el cierre de sesión mediante canal secundario OIDC. Cuando su proveedor de identidad (IdP) envía un token de cierre de sesión, Ops Manager invalida la sesión del usuario.

Endpoint

  • POST {OPSMANAGER-HOST}:{PORT}/oidc/backchannel-logout

Solicitud

Envía una solicitud codificada en formulario con el parámetro logout_token que contenga un JWT firmado.

Requisitos

  • Incluye un sub válido (asunto) claim.

  • Puede incluir el sid (ID de sesión) claim para la invalidación dirigida de la sesión.

Ops Manager no admite el cierre de sesión iniciado por el proveedor de servicios. Para cerrar sesión, los usuarios deben cerrar sesión en el IdP.

Volver
Configurar SAML
Next
OIDC para bases de datos de respaldo
Califique esta página

En esta página