Configurar MongoDB Agent para autenticación por OIDC

Navegue a la configuración de seguridad.

En Ops Manager, Go a tu proyecto. En la navegación izquierda, haga clic en Deployment, haga clic en Security y después seleccione la pestaña Settings.

Habilitar la autenticación OIDC.

En la sección MongoDB Deployment Authentication Mechanism, seleccione Federated Auth (OIDC).

Agregue una configuración de proveedor de identidad OIDC.

1. En la sección OIDC Connection and Authorization, haga clic en + OIDC IdP Configuration.

2. En la ventana OIDC Protocol Settings, seleccione Workload Identity Federation.

3. Introduzca los datos del IdP:

   Campo	Descripción
   Configuration Name	Prefijo que identifica esta configuración de IdP en Ops Manager.
   Issuer URI	URI del IdP que emite tokens de acceso.
   Audience	Debe coincidir con la declaración aud en el JWT que emite su IdP.
   Authorization Method	Seleccione User ID o Group Membership, según la configuración de su IdP.
   Customize User Claim	Reclamación que identifica al usuario. Por defecto, es sub.

4. Haga clic en Save Configuration.

Configura la conexión del agente a la implementación.

1. En la sección MongoDB Agent Connections to Deployment, seleccione Workload Federation.

   Importante

   Después de implementar con Workload Federation, no puedes revertir el MongoDB Agent a la autenticación local.

2. Introduzca los detalles de autenticación del agente:

   Campo	Descripción
   OIDC IdP Configuration	Configuración delIdP que utiliza el agente de MongoDB para autenticarse. Seleccione la configuración que creó en el paso anterior.
   User Identifier	Valor de la reclamación principal del usuario. Ops Manager crea el usuario de MongoDB como [configuration name]/[user identifier].
   Authentication Method	Método de autenticación para la conexión del agente con el proveedor de identidad (IdP). Seleccione Client Credentials para integraciones estándar con IdP como Okta, o Built-in para identidades de cargas de trabajo nativas de la nube en Azure o GCP.
   Client ID	ID de cliente OAuth 2.0 asignado al agente. Requerido cuando se use Client Credentials.
   Client Secret	Secreto de cliente OAuth 2.0 asignado al agente. Requerido cuando se use Client Credentials.

   Tip

   Si su IdP utiliza una identidad de carga de trabajo nativa de la nube como Azure o GCP, seleccione Built-in. No es necesario que proporcione Client ID ni Client Secret.

3. Haga clic en Save Settings.

Revise e implemente los cambios.

1. En el modal Review Your Changes, revisa la diferencia de implementación. Confirma que la diferencia muestre Auth Mechanisms: MONGODB-OIDC y los detalles de la Federación de cargas de trabajo bajo Auth.

2. Confirma la implementación.

Una vez que Ops Manager aplica los cambios, el agente de MongoDB recibe automáticamente la configuración actualizada y obtiene sus tokens OIDC iniciales del IdP. El agente pasa a la autenticación OIDC sin necesidad de reiniciarse.

Genera un nuevo secreto de cliente en tu IdP.

En su proveedor de identidad (IdP), abra la aplicación OAuth/OIDC que utiliza para esta implementación y genere un nuevo secreto de cliente. Norevoque aún el secreto existente.

Actualice el secreto en Ops Manager.

1. En Ops Manager, Go a su proyecto. Haz clic en Deployment, Security, luego selecciona la pestaña Settings.

2. En MongoDB Agent Connections to Deployment, selecciona Workload Federation.

3. Ingrese el nuevo secreto en Client Secret, luego haga clic en Save Settings.

4. Revise y confirme la implementación.

Espere a que el MongoDB Agent actualice sus tokens, normalmente en el plazo de una hora.

Revoca el antiguo secreto en tu IdP.