データベースユーザーを作成して、クライアントがプロジェクト内のクラスターにアクセスできるようにします。
注意
MongoDB Atlas共有責任モデルは、安全で回復力のあるデータ環境を維持するためのMongoDBとそのカスタマーの補完的な役割を定義します。このフレームワークの下、 MongoDB は基礎のプラットフォームのセキュリティと運用上の整合性を管理しますが、カスタマーは特定の配置の構成、管理、データ ポリシーに責任を負います。所有者のセキュリティと運用の優れ性の詳細な内訳については、 共有責任モデル を参照してください。
データベースユーザーのアクセスは、ユーザーに割り当てられたロールによって決まります。データベースユーザーを作成すると、 組み込みロール のいずれかによって、そのユーザーがRestrict Access to Specific Clusters Atlasプロジェクト内のすべてのクラスターに追加されます。プロジェクト内でデータベースユーザーがアクセスできるリソースを指定するには、Atlas UIでオプション を選択するか、 特定の特権 と カスタムロール を設定します。
データベース ユーザーは Atlas ユーザーとは別です。データベース ユーザーは MongoDB データベースにアクセスでき、Atlas ユーザーは Atlas アプリケーション自体にアクセスできます。Atlas では、7日以内（ユーザー側で指定可能）に自動的に期限切れとなる一時データベースユーザーの作成がサポートされています。
Atlas は、プロジェクトのアクティビティフィードにある一時データベースユーザーと一時的でないデータベースユーザーの作成、削除、更新を監査します。
注意
自己管理型配置
このページの情報は、Atlasでホストされている配置にのみ適用されます。自己管理型配置でデータベースユーザーを作成する方法については、自己管理型配置でデータベースユーザーを作成する。を参照してください。
制限
次の制限は、MongoDB Atlas でホストされている配置にのみ適用されます。これらの制限のいずれかが組織にとって問題となる場合は、Atlas サポートにお問い合わせください。
Atlas クラスターでデータベースユーザーを管理するには、Atlas CLI、Atlas Administration API、Atlas UI、またはサポートされている統合を使用する必要があります。それ以外の場合、Atlas はユーザーによる変更をすべてロールバックします。
使用可能な Atlas 組み込みロールと特定の権限は、MongoDB コマンドのサブセットをサポートします。 詳細については、M10+ クラスターでサポートされていないコマンドを参照してください。
Atlasプロジェクトごとに最大 100 のデータベースユーザーを作成できます。
データベースユーザーの認証メソッド
Atlas は、データベースユーザーに対して次の形式の認証を提供します。
パスワード: SCRAM は MongoDB のデフォルトの認証方法です。SCRAM では、ユーザーごとにパスワードが必要です。
SCRAM 認証ユーザーの認証データベースは
adminデータベースです。注意
デフォルトでは、Atlas は SCRAM-SHA-256認証をサポートしています。MongoDB 4.0 より前にユーザーを作成した場合は、 MongoDB 4.0 を更新し、パスワードを更新して SCRAM-SHA-256 認証情報を生成する必要があります。既存のパスワードを再利用できます。
SCRAM を使用する場合
SCRAM認証は人間ユーザーとアプリケーションユーザーに使用できます。下位環境の場合は、SCRAM が適した認証方法となります。実稼働環境では 以上の環境では、特権アクセス管理（PAM）ソリューションと統合するなど、セキュリティのベストプラクティスに従って、シークレットを安全かつ短期間に保持します。
X.509 証明書: X.509 証明書（相互 TLS または mTLS とも呼ばれます）は、信頼できる証明書を使用することでスワードレス認証を可能にします。
X.509 認証ユーザーの認証データベースは
$externalデータベースです。LDAP認可を有効にする と、Atlas が管理する X.509 証明書で認証するユーザーを使用してクラスターに接続することはできません。 LDAP を有効にし、X.509 ユーザーを使用してクラスターに接続するには、「 自己管理型 X.509 証明書の設定 」を参照してください。
X.509 を使用する場合
X.509認証は、ワークロードID フェデレーション（OIDC）またはAWS IAM認証が実行できない場合、または相互認証が必要な場合に、安全なワークロードアクセスに適しています。
OIDC: OpenID Connect（OIDC）認証、外部 IdP を使用したスワードレス、シークレットレス認証が可能になります。Atlas は次のタイプの OIDC認証をサポートしています。
従業員、パートナー、契約従業員などの人間のプリンシパルのための Workforce IdP。
Azureサービス プリンシパル、 Azure Managed Identity、Google サービス アカウントなどの外部プログラムによる ID を使用するアプリケーションの Workload Identity Federation。
OIDC 認証ユーザーの認証データベースは
$externalデータベースです。OIDC認証はMongoDBバージョン 7.0 以降を使用するクラスターでのみ使用できます。
OIDC を使用する場合
人間のユーザーの場合は、OIDC とともに Workforce IdP を使用することをお勧めします。
アプリケーションユーザーの場合は、 GCPまたはAzure上で実行するアプリケーション向けに OIDC とともに Workload Identity Federation を使用することをお勧めします。
AWS IAM:認証にユーザーまたはロール ARN を使用し、 AWS IAM を使用するデータベースユーザーを作成できます。
AWS IAM 認証ユーザーの認証データベースは
$externalデータベースです。AWS IAM を使用する場合
AWSで実行中アプリケーションユーザーには、 IAM ロールを持つAWS IAM認証を使用することをお勧めします。
必要なアクセス権
データベースユーザーを追加するには、Atlas に対する Organization Owner、Organization Stream Processing Admin、Project Owner、Project Stream Processing Owner、または Project Database Access Admin アクセス権が必要です。