AtlasFederatedAuth カスタム リソース

例

次の例では、次の操作を実行するAtlasFederatedAuthカスタム リソースを構成します。

• 指定されたシークレットにリンクされた組織のフェデレーティッド認証を有効にします。

• 承認されたドメインとしてmy-org-domain.comを追加します。

• 組織のドメイン制限を有効にします。

• SSOのデバッグを無効にします。

• Grants the Organization Member role to users after authenticating.

• Maps the Organization Owner role for the organization and applies the role mapping to an IdP group named org-admin.

• Maps the Organization Project Creator and Project Owner roles for a project in the organization named dev-project and applies the role mapping to an IdP group named dev-team.

apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  dataAccessIdentityProviders:
    - 32b6e34b3d91647abb20e7b8
    - 42d8v92k5a34184rnv93f0c1
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system
  domainAllowList:
    - my-org-domain.com
  domainRestrictionEnabled: true
  ssoDebugEnabled: false
  postAuthRoleGrants:
    - ORG_MEMBER
  roleMappings:
    - externalGroupName: org-admin
      roleAssignments:
        - role: ORG_OWNER
    - externalGroupName: dev-team
      roleAssignments:
        - role: ORG_GROUP_CREATOR
        - projectName: dev-project
          role: GROUP_OWNER
status:
  conditions:
    - type: Ready
      status: True
    - type: RolesReady
      status: True
    - type: UsersReady
      status: True

パラメーター

This section describes the parameters available for the AtlasFederatedAuth custom resource. For detailed descriptions of the parameters, see the Atlas Federated Authentication API Resource.

これらの説明、このページの例、および API ドキュメントを参照して、仕様をカスタマイズします。

metadata.name

型: string

必須

Atlas Kubernetes Operator が組織のフェデレーティッド認証を構成するために使用するAtlasFederatedAuthカスタム リソースを識別する名前。

metadata.namespace

型: string

任意

atlasFederatedAuth カスタムリソースを含める名前空間。指定されていない場合、Atlas Kubernetes Operator は kubectl によって設定された現在の名前空間を使用します。

spec.enabled

タイプ: ブール値

必須

組織に対してフェデレーティッド認証を有効にするかどうかを決定するフラグ。 デフォルトはfalseです。

spec.dataAccessIdentityProviders

タイプ: list

任意

Atlas Kubernetes Operator が組織のフェデレーティッド認証の構成 に使用する ID プロバイダーを識別する string 値のリスト。

注意

dataAccessIdentityProviders パラメータは、データアクセスに使用される 1 つ以上の ID プロバイダーを定義します。 つまり、 AtlasDatabaseUserリソースで構成されている、実際のMongoDBデータベースインスタンスにアクセスするために使用されます。これは、Atlas UIの ID プロバイダーを使用するを構成するために使用される AtlasFederatedAuthリソースの既存のオプションとは異なります。

spec.connectionSecretRef.name

型: string

必須

Atlas Kubernetes Operator がpassword Atlas への接続に使用する組織IDとAPIキーを持つ単一の フィールドを含む opaque シークレットの名前。シークレットを作成するときは、orgID publicApiKey、 、privateApiKey フィールドを指定します。

The secret's API keys must have the Organization Owner role. You can use the same secret from an AtlasProject Custom Resource only if the secret has Organization Owner permissions.

Atlas Kubernetes Operator atlas.mongodb.com/type=credentialsは、不要な シークレット の監視を回避するために、ラベル のシークレットのみを監視します。

次の例ではシークレットにラベルを付けます。

kubectl label secret the-user-password atlas.mongodb.com/type=credentials

注意

デフォルトでは 、Atlas Kubernetes Operator は カスタム AtlasProjectリソースと同じ名前空間に接続シークレットを保持します。シークレットを別の名前空間に保存するには、spec. connectionSecretRef を指定します。名前空間パラメータ。

spec.connectionSecretRef.namespace

型: string

任意

Atlas Kubernetes Operator が Atlas に接続するために使用する組織IDとAPIキーのシークレットを含む名前空間。このパラメーターを省略または指定しない場合、Atlas Kubernetes Operator は カスタム AtlasProjectリソースと同じ名前空間に接続シークレットを保持します。

spec.domainAllowList

タイプ: 文字列の配列

任意

メールアドレスに基づいて組織に参加できるユーザーを制限する承認済みドメイン。

spec.domainRestrictionEnabled

タイプ: ブール値

必須

接続済み組織に対してドメイン制限が有効になっているかどうかを示すフラグ。 デフォルトはfalseです。

このパラメータをtrueに設定すると、Atlas はフェデレーション外の組織に属するユーザーのリストを返します。 詳細については、「ユーザー競合 」を参照してください。

spec.ssoDebugEnabled

タイプ: ブール値

任意

IdP で SSO デバッグが有効になっているかどうかを示すフラグ。デフォルトは false です。

spec.postAuthRoleGrants

タイプ: 文字列の配列

任意

認証後にこの組織内のユーザーに付与される Atlas ロール。以下に例を挙げます。

• ORG_MEMBER

• ORG_READ_ONLY

• ORG_BILLING_ADMIN

• ORG_GROUP_CREATOR

• ORG_OWNER

• ORG_BILLING_READ_ONLY

許容値の完全なリストについては、フェデレーティッド認証 API リソース を参照してください。

spec.roleMappings

タイプ: オブジェクトの配列

任意

この組織で設定されているロール マッピング。

The spec.roleMappings.roleAssignments parameter must include at least one organization role within the current organization or the projects in the organization.

spec.roleMappings.externalGroupName

型: string

必須

このロール・マッピングが適用される IdP グループを識別する、人間に判読可能なユニークなラベル。

spec.roleMappings.roleAssignments

タイプ: オブジェクトの配列

任意

Atlas のロールと、各ロールに関連付けられたグループおよび組織の一意の識別子。 このパラメーターには、現在の組織内の少なくとも 1 つの組織ロールまたは組織内のプロジェクトを含める必要があります。

spec.roleMappings.roleAssignments.projectName

型: string

任意

ロールを関連付ける組織内の Atlas プロジェクト。

spec.roleMappings.roleAssignments.role

型: string

任意

Atlas が特定の API キー、ユーザー、またはチームに付与する特権のコレクションを識別する、人間が判読可能なラベル。 これらのロールには、組織レベルとプロジェクト レベルの特権が含まれます。

Atlas Kubernetes Operator は、次の値を受け入れます。

• ORG_MEMBER

• ORG_READ_ONLY

• ORG_BILLING_ADMIN

• ORG_GROUP_CREATOR

• ORG_OWNER

• ORG_BILLING_READ_ONLY

• GROUP_OWNER

• GROUP_READ_ONLY

• GROUP_DATA_ACCESS_ADMIN

• GROUP_DATA_ACCESS_READ_ONLY

• GROUP_DATA_ACCESS_READ_WRITE

• GROUP_CLUSTER_MANAGER

• GROUP_SEARCH_INDEX_EDITOR