Carga de trabajo Identity Federation permite que tus aplicaciones accedan a implementaciones de MongoDB Ops Manager utilizando identidades programáticas externas como Azure Service Principals, Identidades gestionadas de Azure y Google Service Accounts.
Cómo funciona
La Federación de Identidades de Carga de Trabajo permite que sus aplicaciones accedan a las implementaciones de MongoDB con tokens de acceso OAuth 2.0. Estos tokens de acceso pueden ser emitidos por cualquier proveedor de identidad externo, como Azure Entra ID y Google Cloud Platform. Ops Manager almacena los identificadores y privilegios de usuario, pero no los secretos. Este mecanismo de autenticación para sus aplicaciones solo es compatible con ciertos drivers de MongoDB.
Los drivers MongoDB admiten dos tipos de flujo de autenticación para Workload Identity Federation: autenticación incorporada y autenticación de función de retorno.
Autenticación incorporada
Puede usar la autenticación integrada si implementa su aplicación en una infraestructura compatible con un tipo de principal compatible. Su aplicación puede acceder a las implementaciones de Ops Manager sin proporcionar una contraseña ni solicitarla manualmente. JWT del servicio de metadatos de tu proveedor de la nube. En su lugar, el driver de MongoDB elegido utilizará el identificador principal existente para solicitar un JWT access token bajo el sistema, que luego se pasa automáticamente al Ops Manager implementación cuando la aplicación se conecta.
Para más detalles sobre la implementación, consulta la documentación del controlador que hayas elegido.
Infraestructura y tipos principales compatibles con la autenticación incorporada
Proveedor de nube | Tipo de infraestructura | Tipo principal |
|---|---|---|
GCP | Motor de cómputo | Cuentas de servicio de GCP |
Entorno estándar del motor de la aplicación | ||
Entorno flexible del motor de la aplicación | ||
Funciones en la nube | ||
Cloud Run | ||
Google Kubernetes Engine | ||
Cloud Build | ||
Azure | Azure VM | Identidades gestionadas de Azure (asignadas al usuario y al sistema) |
Autenticación de función de retorno
Puede usar la autenticación por devolución de llamada con cualquier servicio compatible con 2.0 tokens de acceso OAuth. Workload Identity Federation llama a un método de devolución de llamada, en el que puede solicitar el JWT necesario a su servidor de autorización o proveedor de nube, que debe pasar cuando su aplicación se conecta a Ops Manager con Workload Identity Federation.
Por favor, revise la documentación del controlador de su elección para obtener detalles adicionales sobre la implementación.
Seguridad con Azure Managed Identities
La federación de identidades de carga de trabajo con identidades administradas de Azure ofrece la forma más segura de autenticarse en las implementaciones de MongoDB Ops Manager que se ejecutan en Azure. Este enfoque ofrece las siguientes ventajas de seguridad:
Aprovecha las identidades administradas: permite que las aplicaciones que se ejecutan en los servicios de Azure (como las MV de Azure, AKS y Azure Functions) se autentiquen ante MongoDB Ops Manager utilizando las identidades administradas asignadas en Azure sin necesidad de administrar credenciales independientes de MongoDB.
Autenticación "sin contraseña" segura: Tus aplicaciones obtienen tokens de acceso OAuth 2.0 de vida corta desde el servidor de metadatos de Azure, los cuales MongoDB Ops Manager luego verifica. Esto elimina la necesidad de almacenar y manejar nombres de usuario y contraseñas sensibles de bases de datos dentro del código o las configuraciones de su aplicación.
Gestión de identidades centralizada: gestionas las identidades de tus cargas de trabajo de Azure dentro del marco de Azure Entra ID, lo que proporciona una fuente única de información fiable para la gestión de identidades.
Auditoría mejorada: Azure proporciona registros de auditoría de la actividad de las cuentas de servicio, lo que mejora la trazabilidad y las capacidades de supervisión de la seguridad.
Acceso requerido
Para configurar la Federación de Identidades de Carga de Trabajo, debes contar con
Project Owner acceso a Ops Manager.
Requisitos previos
Debes tener lo siguiente:
MongoDB 7.0 o posterior.
Al menos otro mecanismo de autenticación con el MongoDB Agent configurado.
Nota
El agente de MongoDB no puede conectarse a tu implementación mediante OIDC. Debe habilitar un mecanismo de autenticación adicional para el MongoDB Agent. Si Ops Manager no gestiona supervisión ni copia de seguridad, debes configurarlos manualmente para usar el mecanismo de autenticación alternativo.
Procedimientos
Para configurar la Federación de identidades de cargas de trabajo, completa los siguientes pasos:
Configurar un proveedor de identidad de carga de trabajo (configuración única).
Concede acceso a identidades externas (principales de usuario) o grupos.
Configurar una aplicación de Proveedor de Identidad Externo
Nota
Si deseas restablecer la autenticación y las configuraciones TLS para tu Proyecto, primero desvincula cualquier implementaciones de MongoDB que Ops Manager gestione en tu Proyecto.
Para acceder a las implementaciones de Ops Manager con identidades administradas de Azure o principales de servicio de Azure, debes registrar una aplicación de Azure Entra ID. Si tienes un registro de aplicación existente para el acceso de Workforce (usuario humano), se recomienda registrar una aplicación separada para el acceso a carga de trabajo.
Registre una aplicación.
Navegar a App registrations.
En tu Portal de Azurecuenta, busque y Microsoft Entra ID haga clic en.
En la sección Manage de la navegación izquierda, hacer clic en App registrations.
Haga clic en New registration.
Aplicar los siguientes valores.
CampoValorName
Ops Manager Database - Workload
Supported Account Types
Accounts in this organizational directory only (single tenant)
Redirect URI
Web
(Opcional) Agregar reclamaciones de grupos.
Es una de las mejores prácticas utilizar identificadores de principal de servicio como identificadores de usuario de MongoDB al definir derechos de acceso en Ops Manager. Si planeas usar este enfoque común, omite este paso. Sin embargo, si prefieres usar identificadores de grupo, como el identificador de grupo de seguridad de Entra ID de Microsoft, puedes establecer la reclamación de grupos en el registro de tu aplicación con los pasos a continuación.
Ir a Token Configuration.
En la sección Manage de la navegación izquierda, hacer clic en Token Configuration.
Haga clic en Add groups claim.
En el cuadro modal Edit groups claim, seleccionar Security.
Los grupos que seleccione dependen del tipo de grupos que haya configurado en su entorno de Azure. Es posible que necesite seleccionar un tipo diferente de grupo para enviar la información de grupo adecuada.
En la sección Customize token properties by type, es importante que se seleccione solo Group ID.
Si seleccionas Group Id, Azure envía el ID de objeto del grupo de seguridad.
Haga clic en Add.
Para aprender más sobre cómo agregar una reclamación de grupo, se puede consultar Documentación de Azure.
Habilitar un URI de ID de la aplicación.
Ir a Expose an API en la barra lateral izquierda y activar el URI del ID de la aplicación.
Habilitar un URI de ID de la aplicación.
Mantén el URI de ID de aplicación por defecto asignado por Azure, que es
<application_client_id>. Copia y almacena este valor, ya que Ops Manager y todos los controladores de MongoDB requieren este valor para la configuración de la Federación de Identidad de Carga de Trabajo.
Actualizar el manifiesto.
En la sección Manage de la navegación izquierda, hacer clic en Manifest.
Actualizar el accessTokenAcceptedVersion de
nulla2.El número
2representa la versión 2 de los tokens de acceso de Microsoft. Otras aplicaciones pueden utilizar esto como una declaración firmada de la identidad del usuario gestionado por el Directorio de Active. La versión 2 garantiza que el token sea un JSON Web Token que MongoDB comprenda.Haga clic en Save.
Para aprender más sobre cómo agregar una reclamación opcional, se puede consultar Documentación de Azure.
Recuerde los metadatos.
En la navegación izquierda, hacer clic en Overview.
En la navegación superior, haga clic en Endpoints.
Copie el valor OpenID Connect metadata document sin la parte
/.well-known/openid-configuration.También puedes recuperar este valor siguiendo la OpenID Connect metadata document URL y copiando el valor de
issuer.
La siguiente tabla muestra a qué propiedades de configuración de Ops Manager se mapean estos valores de Interfaz de Usuario de Microsoft Entra ID.
Microsoft Entra ID UI | Propiedad de configuración de Ops Manager |
|---|---|
OpenID Connect metadata document (without /.well-known/openid-configuration) | Issuer URI. |
Application ID URI (<Application ID>) | Audience |
No se necesita realizar ningún cambio de configuración en tu cuenta de GCP.
Configura la autenticación de Workload Identity Federation
Nota
La Federación de Identidad de Carga de Trabajo solo admite JWT para autenticación. No admite tokens de acceso opacos.
Para configurar un proveedor de identidad de federación de identidad de carga de trabajo con Azure Entra ID en Ops Manager:
Navegue al cuadro de diálogo Security Settings para su implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realiza una de las siguientes acciones:
Si esta es la primera vez que configura TLS, autenticación o configuración de autorización para este proyecto, haz clic en Get Started.
Si ya se ha configurado la autenticación TLS, o la configuración de autorización para este proyecto, haga clic en Edit.
Opcional: Especifica la configuración TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta de archivo CA TLS | El archivo de la Autoridad Certificadora TLS es un archivo de certificado en formato La clave privada cifrada para el archivo de certificado Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especifica, el clúster utiliza
| ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB habilitadas para TLS. Cada implementación de MongoDB verifica los certificados de estos hosts cliente cuando intentan conectarse. Si eliges exigir los certificados TLS del cliente, asegúrate de que sean válidos. Los valores aceptados son:
|
Introduce la siguiente configuración.
Configuración | Necesidad | Valor |
|---|---|---|
Configuration Name | Requerido | Etiqueta única que identifica esta configuración. Esta etiqueta es visible para los usuarios de Ops Manager y se utiliza al crear usuarios y roles para la autorización. Distingue entre mayúsculas y minúsculas y solo puede contener los siguientes caracteres:
Después de guardar la configuración, no puedes editar el nombre de la configuración. |
Issuer URI | Requerido | El valor del emisor proporcionado por la aplicación del proveedor de identidad que se tenga registrado. Usando este URI, MongoDB encuentra un Documento de Configuración del Proveedor de OpenID, que debería estar disponible en el endpoint |
Audience | Requerido | Entidad para la cual el proveedor de identidad externo destina el token. Ingresar el valor de |
Tipo de autorización | Requerido | Seleccionar Es más común usar |
Customize User Claim | Requerido | El identificador de la reclamación que incluye la identidad principal del usuario. Acepte el valor por defecto a menos que su IdP utilice una reclamación diferente. Por defecto: |
Customize Group Claim | Requerido | Se requiere si selecciona Por defecto: |
Para configurar un Proveedor de Identidad de Federated Identity de carga de trabajo con GCP en Ops Manager:
Navegue al cuadro de diálogo Security Settings para su implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Realiza una de las siguientes acciones:
Si esta es la primera vez que configura TLS, autenticación o configuración de autorización para este proyecto, haz clic en Get Started.
Si ya se ha configurado la autenticación TLS, o la configuración de autorización para este proyecto, haga clic en Edit.
Opcional: Especifica la configuración TLS.
Campo | Acción | ||||
|---|---|---|---|---|---|
Seguridad de capa de transporte de implementación de MongoDB (TLS) | Active este control deslizante para ON. | ||||
Ruta de archivo CA TLS | El archivo de la Autoridad Certificadora TLS es un archivo de certificado en formato La clave privada cifrada para el archivo de certificado Escriba la ruta del archivo hasta el archivo de la Autoridad Certificadora TLS en cada host que ejecute un proceso de MongoDB:
Esto habilita la configuración para los procesos MongoDB en el Haz clic en Validate para probar que cada host en tu implementación tenga una autoridad certificadora TLS en las rutas que especificaste. | ||||
Ruta del archivo CA TLS del clúster | El archivo Si no especifica, el clúster utiliza
| ||||
Modo de certificado de cliente | Seleccione si las aplicaciones cliente o los agentes de MongoDB deben presentar un certificado TLS al conectarse a implementaciones de MongoDB habilitadas para TLS. Cada implementación de MongoDB verifica los certificados de estos hosts cliente cuando intentan conectarse. Si eliges exigir los certificados TLS del cliente, asegúrate de que sean válidos. Los valores aceptados son:
|
Introduce la siguiente configuración.
Configuración | Necesidad | Valor |
|---|---|---|
Configuration Name | Requerido | Etiqueta única que identifica esta configuración. Esta etiqueta es visible para los usuarios de Ops Manager y se utiliza al crear usuarios y roles para la autorización. Distingue entre mayúsculas y minúsculas y solo puede contener los siguientes caracteres:
Después de guardar la configuración, no puedes editar el nombre de la configuración. |
Issuer URI | Requerido | Introducir el URI |
Audience | Requerido | Especificar cualquier valor personalizado. El parámetro Audience se usa al llamar a los controladores de MongoDB |
Tipo de autorización | Requerido | Seleccionar Es más común usar |
Customize User Claim | Requerido | No modifique el valor por defecto, Por defecto: |
Configurar autorización OIDC
MongoDB no crea explícitamente usuarios de base de datos para OIDC. Asocia los usuarios de OIDC con los roles de MongoDB en función de la configuración.
Selecciona una pestaña según el tipo de autorización que hayas seleccionado al configurar la autenticación OIDC.
Si seleccionó el tipo de autorización User ID, cree un nuevo usuario para otorgar autorización a un usuario individual:
Navega a la pestaña MongoDB Users para tu implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña MongoDB Users.
Agregue el usuario OIDC.
Nota
Antes de agregar usuarios, asegúrese de haber creado todos los roles que desea asignarles.
Completa los campos de la cuenta de usuario:
CampoDescripciónIdentifier
En el primer campo, introduce la base de datos
$external.En el segundo campo, introduce un nombre de usuario utilizando tu OIDC proveedor de identidad nombre de configuración y la declaración principal del usuario de tu configuración separada por una barra
/:{configuration_name}/{user_principal_claim}
Roles
Ingrese cualquier rol definido por el usuario disponible y roles integrados en este cuadro. El cuadro combinado proporciona una lista de roles existentes cuando haces clic en él.
Authentication Restrictions
Haga clic en Add Entry.
Agregue una o más direcciones IP o bloques CIDR en los cuadros Client Source Server Address o. Separe las direcciones o bloques con comas.
Client Source restringe las direcciones desde las cuales este usuario puede autenticarse y usar los roles asignados.
Server Address restringe las direcciones desde las que este usuario puede autenticarse y tener los roles asignados.
Haga clic en Save.
Para añadir otra entrada, haz clic en Add Entry.
Haga clic en Add User.
Si seleccionaste el tipo de autorización Group Membership, completa los siguientes pasos para crear un rol personalizado que otorgue autorización según la membresía en el grupo de usuarios de proveedor de identidad:
Navega a la pestaña MongoDB Roles para tu implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña MongoDB Roles.
Crea el rol OIDC.
Introduce los siguientes campos:
CampoNecesidadDescripciónIdentifier
Requerido
En el recuadro Database, introduzca
admin.En el cuadro Name, introduzca su nombre de configuración de OIDC IdP y el nombre del grupo de su proveedor de identidad externo, separados por una barra diagonal
/:{configuration_name}/{group_name} Inherits From
Opcional
Una lista de pares de nombres de roles y bases de datos. El formato para estos pares es
roleName@dbName.Authentication Restrictions
Opcional
Una lista de direcciones IP o notaciones CIDR que desees restringir desde tu proveedor de identidad.
Privilege Actions by Resource
Opcional
Acciones permitidas en el recurso.
Para obtener más información,consulte Acciones de privilegio.
Haga clic en Add Role.
Conecta una aplicación a MongoDB con Federación de identidades de carga de trabajo
Usa los siguientes controladores de MongoDB para conectar una aplicación a MongoDB con autenticación por Federación de Identidad de Carga de Trabajo:
Gestionar una configuración existente de Workload Identity Federation
Para administrar la configuración de tu Workload Identity Federation, puedes realizar las siguientes acciones.
Revoke JWKS
Nota
No use esta funcionalidad para rotar las claves de firma. Cuando gire las claves de firma OIDC proveedor de identidad, MongoDB obtiene la JWKS automáticamente una vez vencidos los tokens de acceso existentes.
Si la llave privada está comprometida, se pueden revocar inmediatamente los conjuntos de llaves web JSON (JWKS) almacenados en caché en los nodos de MongoDB:
Navegue al cuadro de diálogo Security Settings para su implementación.
Si aún no se muestra, se debe seleccionar la organización que contiene el proyecto deseado en el menú Organizations de la barra de navegación.
Si aún no se muestra, se debe seleccionar el proyecto deseado en el menú Projects de la barra de navegación.
Si aún no se muestra, haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Edite una configuración
Para editar tu configuración de carga de trabajo Identity Federation:
Navegue al cuadro de diálogo Security Settings para su implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haga clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.
Borrar una configuración
Para borrar tu configuración de Workload Identity Federation:
Navegue al cuadro de diálogo Security Settings para su implementación.
Selecciona la organización que contiene tu proyecto desde el menú Organizations en la barra de navegación.
Selecciona tu proyecto en el menú Projects de la barra de navegación.
Haz clic en Deployment en la barra lateral.
Haz clic en la pestaña Security.
Haz clic en la pestaña Settings.