/ /

OIDC で Workforce IdP を設定する

MongoDB 7.0以降では、Workforce IdP を使用して、会社の IdPなどの外部 IdP（IdP）を使用して、従業員、パートナー、コンストラクターなどの特定のワークフォースを認証および認可します。

Workforce IdP を使用すると、次のことが可能になります。

既存のIdPを介して、MongoDB 配置へのワークフォースアクセスを管理します。
パスワードの複雑さ、認証情報のローテーション、 MFAなどのセキュリティポリシーをIdP内で強制します。
ユーザーのグループまたは 1 人のユーザーにアクセス権を付与します。

外部IdPを構成して Workforce IdP に一度追加したら、複数の Atlas 組織に対して Workforce IdP を有効にできます。特定の組織で Workforce IdP を有効にすると、その組織のすべてのプロジェクトでデータベースアクセスのためにフェデレーションを使用できるようになります。

Workforce IdP は、MongoDB バージョン7.0.11以降を実行している Atlas 専用クラスター（M 10以上）によってサポートされています。 Workforce IdP のある Atlas にアクセスするには、MongoDB Shell または Compass を使用する必要があります。

Workforce IdP アクセスの実装の詳細については、「 Workforce IdP を使用してMongoDBにクライアントを接続する」を参照してください。

必要なアクセス権

Workforce IdP の構成を管理するには、Atlas への Organization Ownerアクセス権が必要です。

手順

Workforce IdP を使用して Atlas クラスターにアクセスするには、次の手順を実行します。

ワークフォース IdP（1 回限りの設定）を構成します。
1. 外部 ID プロバイダーを構成します。
2. Atlas で Workforce IdP を構成し、Atlas組織で有効にします。
外部 ID（ユーザープリンシパル）またはグループに MongoDB クラスターへのアクセス権を付与します。
MongoDB Shell または Compass を使用して Atlas クラスターを認証します。

外部 ID プロバイダーアプリケーションを構成する

OIDC を使用して Workforce Identity Federation を構成するには、 Microsoft Entra ID 、 Okta 、Ping Identity など、 OIDC 標準をサポートする IdP で OIDC アプリケーションを登録します。

注意

Workforce IdP は認証用にJSON web tokenのみをサポートしています。不変のアクセストークンはサポートされていません。

OIDCアプリケーションは、次の付与タイプで構成できます。

PKCEを使用した認証コードフロー
デバイス認証フロー

MongoDB では、セキュリティを強化するために、Authorization Code Flow とPKCEを使用することを推奨しています。ユーザーがブラウザを使用せずにマシンからデータベースにアクセスする必要がある場合にのみ、Device Authorization Flow を使用します。

注意

IdPがMicrosoft Entra IDで、Device Authorization FlowAllow public client flows を使用する場合は、 Azureアプリ登録でを有効にする必要があります。この設定を有効にする方法については、 Azure のドキュメントを参照してください。

OIDCアプリケーションの登録手順は、 IdPによって異なる場合があります。登録プロセス中に次の項目を必ず完了してください。

Atlas に新しいアプリケーションを登録します。

クライアントタイプとしてpublic client/native applicationを選択します。

Redirect URL の値を `http://localhost:27097/redirect` に設定します。

（条件付き）グループで認証する場合は、groups クレームを追加または有効にします。

グループの場合、この手順により、アクセストークンにユーザー認証のグループメンバーシップ情報が含まれていることを確認できます。 MongoDB は、認可のためにグループクレームで送信された値を使用します。

（任意）MongoDB クライアントでトークンを更新してユーザーエクスペリエンスを向上させる場合は、更新トークンを許可します。

（任意）アクセストークンの有効期間（ expクレーム）をデータベース接続セッション時間と一致するように設定します。

アプリケーションを登録したら、 issuer 、 clientId 、 audienceの値を保存して、 Atlas Workforce IdP 構成の次の段階で使用します。

OIDCアプリケーションを Microsoft Entra ID に登録するには、次の手順に従います。

アプリケーションを登録します。

App registrationsに移動します。
1. Azure portal アカウントで、を検索し、Microsoft Entra ID をクリックします。
2. 左側のナビゲーションの Manage セクションで、App registrations をクリックします。
[New registration] をクリックします。

次の値を適用します。

フィールド	値
Name	Atlas Database - Workforce
Supported Account Types	Accounts in this organizational directory only (single tenant)
Redirect URI	- Public client/native (mobile & desktop) - `http://localhost:27097/redirect`

[Register] をクリックします。

アプリケーションの登録の詳細については、Azure のドキュメントを参照してください。

グループクレームを追加します。

Token Configurationに移動します。
左側のナビゲーションの Manage セクションで、Token Configuration をクリックします。
[Add groups claim] をクリックします。
Edit groups claimモーダルで、 Security groupsを選択します。
選択するグループは、Azure 環境で構成したグループのタイプによって異なります。適切なグループ情報を送信するには、別のタイプのグループを選択する必要がある場合があります。
Customize token properties by typeセクションで、 Group IDのみを選択します。
[Add] をクリックします。

グループクレームを追加する方法の詳細については、Azureドキュメントを参照してください。

アクセストークンにユーザー識別子クレームを追加します。

[Add optional claim] をクリックします。
Add optional claimモーダルで、 Accessを選択します。
メールなど、MongoDB アクセスログで参照できるユーザー識別子を含むクレームを選択します。
UPNクレームを使用して、メールアドレスを持つユーザーを識別できます。
[Add] をクリックします。
Microsoft Graph Permissionsノートで、[] ボックスをオンにし、[ Addをクリックします。

詳しくは、Azure のドキュメントを参照してください。

マニフェストを更新します。

左側のナビゲーションの Manage セクションで、Manifest をクリックします。
nullから2にrequestedAccessTokenVersionを更新します。
数字2は Microsoft のアクセストークンのバージョン 2 を表します。他のアプリケーションは、Active Directory が管理するユーザーの ID の署名された認証局としてこれを使用できます。バージョン 2 では、トークンはJSON web token MongoDBが理解するであることが保証されます。
[Save] をクリックします。

オプションのクレームを追加する方法の詳細については、Azure のドキュメントを参照してください。

メタデータを記憶します。

左側のナビゲーションで [ Overview ] をクリックします。
Application (client) ID値をコピーします。
上部のナビゲーションで、 Endpointsをクリックします。
/.well-known/openid-configuration部分を除いてOpenID Connect metadata document値をコピーします。
この値は、 OpenID Connect metadata document URLでissuerの値をコピーすることで取得することもできます。

次の表は、これらの Microsoft Entra ID UI の値が Atlas 構成プロパティでどのようにマップされるかを示しています。

Microsoft Entra ID UI	Atlas 構成プロパティ
Application (client) ID	Client ID Audience
OpenID Connect metadata document (without /.well-known/openid-configuration)	Issuer URI

OIDCアプリケーションをOkta に登録するには、次の手順に従います。

Okta でアプリケーションを作成します。

Okta Admin ダッシュボードで、左側のナビゲーションペインを使用して Applications → Applications にGo。

Applications 画面で、Create App Integration をクリックします。
Sign-in methodセクションで、[OIDC - OpenID Connect] を選択します。
Application typeセクションで、[Native Application] を選択します。
[Next] をクリックします。

詳しくは、「OIDCアプリ統合の作成」を参照してください。

New Native App Integration を設定します。

アプリ統合を作成すると、自動的に New Native App Integration 画面にリダイレクトされます。

App integration nameフィールドに、アプリケーションの名前を入力します。
Grant typeフィールドで、付与タイプを選択します。
次の付与タイプを有効にします。
- Authorization Code or Device Authorization
- （任意） Refresh Token
  更新トークンを有効にすると、ユーザーエクスペリエンスが向上します。更新トークンが有効になっていない場合、ユーザーはアクセストークンの有効期限が切れるとIdPで再認証する必要があります。
Sign-in redirect URIs セクションでURLを入力します。
次のURLを入力します: http://localhost:27097/redirect。
Assignments セクションで、Controlled access フィールドと Enable immediate access フィールドを構成します。
1. Controlled accessフィールドに Allow everyone in your organization to access を選択します。
2. Enable immediate accessフィールドで、Enable immediate access with Federation Broker Mode がオンになっていることを確認します。
[Save] をクリックします。

詳しくは、「OIDCアプリ統合の作成」を参照してください。

PKCE を構成し、クライアントIDを取得します。

アプリケーションダッシュボードで、[General]タブにGo、以下を設定します。

Client IDフィールドでアイコンをクリックして、後で使用するためにクライアントID をコピーします。
Proof Key for Code Exchange (PKCE)フィールドで、Require PKCE as additional verification が有効になっていることを確認します（デフォルトではがオンになっている）。

承認サーバーの追加。

左側のナビゲーションペインで、Security → API にGo。 [Add Authorization Server] をクリックします。

Nameフィールドにサーバーの名前を入力します。
Audienceフィールドに、前の手順のクライアントIDを貼り付けます。
（任意） Descriptionフィールドにサーバーの説明を入力します。
[Save] をクリックします。

詳細については、「認証サーバーの作成」を参照してください。

発行者 URI を検索して保存します。

認可サーバーを作成すると、認可サーバーの画面に自動的にリダイレクトされます。

Settingsタブで、Metadata URI の最初の部分を .well-known セクションまでコピーして、発行者 URI を保存します。 URI 構造は次のようにする必要があります: https://trial4238026.okta.com/oauth2/ausabgmhveoOQSMsE697

Groupsクレームを追加しました。

認可サーバー画面で、[Claims]タブにGo、[Add Claim をクリックします。

次の構成情報で Groups クレームを構成します。

フィールド	値
Name	クレームの名前を入力します。
Include in token type	[] ドロップダウンをクリックし、[]Access Token を選択します。
Value type	[] ドロップダウンをクリックし、[]Groups を選択します。
Filter	[] ドロップダウンをクリックし、[]Matches regex を選択します。ドロップダウンの横にある「`.*`」と入力します。
Disable claim	チェックしないでください。
Include in	Any scope を選択します。

[Create] をクリックします。

詳細については、「クレームの作成」を参照してください。

アクセスポリシーを作成します。

認可サーバー画面で、[Access Policies]タブにGo、[Add Policy をクリックします。

Nameフィールドにポリシー名を入力します。
Descriptionフィールドにポリシーの説明を入力します。
Assign toフィールドでAll clients [] を選択します。
[Create Policy] をクリックします。

詳細については、「アクセスポリシーの作成」を参照してください。

アクセスポリシーのルールを作成します。

Access Policiesタブの下にある Add Rule をクリックします。

Rule Nameフィールドにアクセスポリシーの名前を入力します。
IF Grant Type is の場合は、付与タイプを選択します。
権限のタイプを設定するときは、クライアントの動作に基づいて適切なオプションを選択します。
- クライアントが自分自身に代わって動作している場合は、Client Credentials を選択します。
- クライアントがユーザーの代わりに動作している場合は、以下を選択します。
  - Authorization Code
  - Device Authorization

組織のセキュリティポリシーに基づいてルール構成を追加します。

Okta ルールの構成例：

フィールド	値
AND user is	Any user assigned to the app を選択します。
AND Scopes requested	Any scopes を選択します。
THEN Use this inline hook	なし（無効）
AND Access token lifetime is	1 Hours
AND Refresh token lifetime is	2 つ目のドロップダウンをクリックし、[]Unlimited を選択します。
but will expire if not used every	7 daysと入力します。

[Create Rule] をクリックします。

詳しくは、各アクセスポリシーのルールの作成を参照してください。

グループを作成します。

左側のナビゲーションペインで、Directory → Groups にGo、Add Group をクリックします。

Nameフィールドに、ディレクトリOIDC と名付けます。
（任意） Descriptionフィールドにルールの説明を入力します。
[Save] をクリックします。
詳細については、「グループの作成」を参照してください。
Okta のドキュメントに従って、ユーザーをグループに手動で割り当てます。

組織にユーザーを追加します。

左側のナビゲーションペインで、Directory → People にGo、Add Person をクリックします。

対応するフィールドに次の値を入力して、ユーザーの詳細を提供します。

フィールド	値
User type	User を選択します。
First name	必要に応じて名前を指定します。
Last name	必要に応じて名前を指定します。
Username	ユーザー名としてメールを入力します。
Primary email	メールを入力します。メールはUsernameフィールドに使用するメールと同じである必要があります。
Secondary email	任意。
Groups	OIDCと入力します。
Activation	Activate Now を選択し、I will set password を確認します。
Password	パスワードを入力します。
User must change password on first login	選択する Optional

[Save] をクリックします。

詳細については、「ユーザーの手動追加」を参照してください。

Workforce IdP 認証の構成

注意

前提条件

この手順では、Organization Owner アクセス権が必要で、 IdP で作成された OIDC アプリケーションがすでに存在することを前提としています。IdP を構成する方法については、「外部 IdP アプリケーションを構成する」を参照してください。

Atlas でワークフォース IdP を設定するには、次の手順に従います。

In Atlas で、組織の Federation Management コンソールに移動します。

まだ表示されていない場合は、以下から目的の組織を選択しますナビゲーションバーのOrganizationsメニュー
サイドバーで、 Identity & Access見出しの下のFederationをクリックします。
[Open Federation Management App] をクリックします。

フェデレーションページが表示されます。

識別プロバイダーを構成します。

左側のサイドバーで [ Identity Providers ] をクリックします。
次のいずれかの手順を行います。
- まだ ID プロバイダーを構成していない場合は、Set Up Identity Provider をクリックします。
- それ以外の場合は、 Identity Providers画面でConfigure Identity Provider(s)をクリックします。
[Workforce Identity Federation ] を選択し、[Continue] をクリックします。
OIDC for Data Access を選択します。

次のワークフォース IdP のプロトコル設定を入力します。

設定	必要性	値
Configuration Name	必須	この構成を識別する、人間が判読できるラベル。このラベルは、Atlas ユーザーに表示されます。
Configuration Description	任意	この構成を説明する、人間が判読できるラベル。
Issuer URI	必須	登録されたIdPアプリケーションによって提供される発行者値。この URI を使用して、MongoDB は`/.wellknown/open-id-configuration`エンドポイントで利用可能なはずの OpenID プロバイダー構成ドキュメントを見つけます。
Client ID	必須	登録されたアプリケーションの一意の識別子です。外部 IdP に登録したアプリの`clientId`値を入力します。
オーディエンス	必須	外部 ID プロバイダーがトークンを発行するエンティティ。外部 IdP に登録したアプリの`audience`値を入力します。一般的に、この値はClient IDと同じです。
Requested Scopes	任意	ユーザーに認可エンドポイントからのデータをリクエストする権限を付与するトークン。リフレッシュトークンをサポートする場合は、このフィールドには値`offline_access`を含める必要があります。 ID プロバイダーが Microsoft Entra ID の場合、Atlas にはこの設定が必要です。デフォルトのスコープを追加します。これは`<application client id>/.default`です。追加する追加のスコープごとに、[ Add more scopes ] をクリックします。
authorizationType	必須	IdPユーザーグループメンバーシップに基づいて認可を付与するにはGroup Membershipを選択し、個々のユーザーに認可を付与するにはUser IDを選択します。
Customize Groups Claim	必須	プリンシパルのIdPユーザーグループメンバーシップ情報を含む要求の識別子。 IdPが別のクレームを使用している場合を除き、カスタムクレームが必要な場合を除き、デフォルト値を受け入れます。このフィールドは、 Group Membershipを選択した場合にのみ必要です。デフォルト: `groups`
Customize User Claim	必須	ユーザープリンシパル ID を含む要求の識別子。 IdPが別の要求を使用しない限り、デフォルト値を受け入れます。デフォルト: `sub` IdPがMicrosoft Entra IDで、Authorization Type として User ID を選択した場合は、次のいずれかの値を使用できます。 `upn`: Atlasデータベースユーザーがユーザープリンシパル名（UPN）で構成されている場合に使用します。 `oid`: AtlasデータベースユーザーがオブジェクトIDで構成されている場合に使用します。

Save and Finish[ をクリックします。

（任意）ドメインを Workforce IdP に関連付けます。

注意

この手順は、異なるドメインを持つ同じ組織に複数の Workforce IdP を接続する必要がある場合にのみ必要です。Atlas は、組織に接続された最大 2 つの Workforce IdP をサポートしています。1 つの OIDC IdP （データベースアクセス用）と 1 つの SAML IdP （UIアクセス用）。

Workforce IdP カードで、 Associate Domainsをクリックします。
Associate Domains with Identity Providerモーダルで、1 つ以上のドメインを選択します。
[Submit] をクリックします。

組織内で従業員 IdP を有効にします。

[Connect Organizations] をクリックします。
Workforce IdP に接続する組織については、 Configure Accessをクリックします。
[Connect Identity Provider] をクリックします。
注意
別のIdPが設定されている場合、このボタンはConnect Identity Provider(s)と表示されます。

Workforce Identity Federation for Data Accessを選択します。

Connect Identity Provider(s)モーダルで、 PurposeがWorkforce Identity FederationであるWorkforce IdP を選択します。

Connect[ をクリックします。

Workforce IdP を組織に接続すると、Atlas はその組織内のすべてのプロジェクトに対して Workforce IdP を有効にします。

強制認証を使用したデータベースユーザーの追加

Atlas で、プロジェクトの Database & Network Access ページに移動します。

まだ表示されていない場合は、プロジェクトを含む組織をナビゲーションバーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーションバーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。

[ データベースとネットワークアクセス ] ページが表示されます。

Add New Database User or Group ダイアログボックスを開きます。

Add New Database User or Group をクリックします。

注意

Workforce IdP を Atlas に適用するまで、このボタンはAdd New Database User 。

Federated Authを選択します。

Authentication Methodセクションで、[Federated Auth] を選択します。

注意

組織で Workforce IdP を有効にするまで、このボックスを選択することはできません。

[IdP] と ID を選択します

。 Select Identity Providerセクションで、構成されたOIDC IdPを選択します。

設定したWorkforce IdP に関連付けられているユーザー識別子またはグループ識別子のいずれかを指定します。

注意

Azure Entra ID ユーザーの場合、この値はユーザーグループ名ではなく、Azure ユーザーグループの Object Id にマップされます。

ユーザーまたはグループの特権を割り当てます。

新しいユーザーまたはグループに特権を割り当てるには、次のタスクの 1 つ以上を実行します。

Built-in Role ドロップダウンメニューから組み込みロールを選択します。
- Atlas UI では、データベースグループごとに 1 つの組み込みロールを選択できます。
- デフォルトオプションを削除する場合は、 Add Built-in Roleをクリックして新しい組み込みロールを選択できます。
カスタムロールを選択するか追加します。
- カスタムロールが定義されている場合は、 Custom Rolesセクションを展開し、 Custom Rolesドロップダウンメニューから 1 つ以上のロールを選択できます。
- さらにカスタムロールを追加するには、 Add Custom Roleをクリックします。
- プロジェクトのカスタムロールを表示するには、 Custom Rolesリンクをクリックします。
特権を追加します。
- [ Specific Privilegesセクションを展開し、 Specific Privilegesドロップダウンメニューから 1 つ以上の特権を選択します。
- さらに特権を追加するには、 Add Specific Privilegeをクリックします。こうすることで、個々のデータベースとコレクションに対するグループ固有の特権が割り当てられます。
適用されたロールまたは特権を削除します。
- をクリックしますの横にあるDelete
  削除するロールまたは特権。
注意
Atlas はオプションを 1 つだけ選択した場合は、 Built-in Role 、 Custom Role 、またはSpecific Privilege選択の横にDeleteアイコン。選択したロールまたは特権は、別のロールまたは特権を適用すると、削除できます。

Atlas では、組み込みロール、複数のカスタムロール、および複数の特定の特権をデータベースグループに適用できます。

認可の詳細については、MongoDB マニュアルの「ロールベースのアクセス制御」と「組み込みロール」を参照してください。

ユーザーまたはグループがアクセスできるプロジェクト内のリソースを指定します。

デフォルトでは、グループはプロジェクト内のすべてのクラスターとフェデレーティッドデータベースインスタンスにアクセスできます。特定のクラスターとフェデレーティッドデータベースインスタンスへのアクセスを制限するには、次の手順に従います。

Restrict Access to Specific Clusters/Federated Database Instances を On に切り替えます。
Grant Access Toリストからグループにアクセスを許可するクラスターとフェデレーティッドデータベースインスタンスを選択します。

一時ユーザーまたはグループとして保存します。

Temporary UserまたはTemporary GroupをOnに切り替え、Atlas がユーザーまたはグループを削除できるようになるまでの時間を [ Temporary User DurationまたはTemporary Group Durationドロップダウンから選択します。グループが存在する期間として、次のいずれかから選択できます。

6 時間
1 日
1 週間

[ Database Usersタブには、Atlas が一時ユーザーまたはグループを削除するまでの残り時間が表示されます。 Atlas がユーザーまたはグループを削除すると、一時ユーザーのまたはグループの認証情報を使用するクライアントやアプリケーションは、クラスターにアクセスできなくなります。

新しいデータベースユーザーまたはグループを追加します。

次のいずれかの手順を行います。

ユーザーを追加した場合は、[ Add User ] ボタンをクリックします。
グループを追加した場合は、 Add Group ] ボタンをクリックします。

Workforce IdP を使用したクライアントのMongoDBへの接続

次は、 Workforce IdP認証を使用してクライアントをMongoDBに接続する方法を示しています。

Compass v1.38 +
MongoDB Shell v2.1.4+

注意

Device Authorization Flow--oidcFlows=device-auth を構成した場合は、に接続するときにフラグを渡す必要があります。（例: ）。mongosh

mongosh "<connection-string>" \
  --authenticationMechanism MONGODB-OIDC \
  --oidcFlows=device-auth

既存のワークフォース IdP 構成を管理する

Workforce IdP 構成の表示

In Atlas で、組織の Federation Management コンソールに移動します。

まだ表示されていない場合は、以下から目的の組織を選択しますナビゲーションバーのOrganizationsメニュー
サイドバーで、 Identity & Access見出しの下のFederationをクリックします。
[Open Federation Management App] をクリックします。

フェデレーションページが表示されます。

Identity Providers左側のサイドバーで [] をクリックします。

構成されたすべての IdP とその詳細を表示できます。

ワークフォース IdP 構成の更新

In Atlas で、組織の Federation Management コンソールに移動します。

まだ表示されていない場合は、以下から目的の組織を選択しますナビゲーションバーのOrganizationsメニュー
サイドバーで、 Identity & Access見出しの下のFederationをクリックします。
[Open Federation Management App] をクリックします。

フェデレーションページが表示されます。

Identity Providers左側のサイドバーで [] をクリックします。

[Workforce IdP] カードで、Manage ドロップダウンをクリックし、Edit Configuration をクリックします。

変更を加え、[]Save をクリックします。

接続された組織の表示と管理

In Atlas で、組織の Federation Management コンソールに移動します。

まだ表示されていない場合は、以下から目的の組織を選択しますナビゲーションバーのOrganizationsメニュー
サイドバーで、 Identity & Access見出しの下のFederationをクリックします。
[Open Federation Management App] をクリックします。

フェデレーションページが表示されます。

Organizations左側のサイドバーで [] をクリックします。

接続されているすべての組織を表示し、その構成を管理できます。

Revoke JWKS

注意

自身で署名キーを管理する場合にのみ、次の手順を使用してください。

署名キーをローテーションするために、この機能を使用しないでください。 Workforce IdP の署名キーをローテーションすると、既存のアクセストークンの有効期限が切れると、MongoDB は JWKS を自動的に取得します。

秘密キーが侵害された場合は、MongoDB ノードにキャッシュされた JWKS（JSON Web Key Sets）をすぐに取り消すことができます。

ワークフォース ID プロバイダーで署名キーを更新します。

In Atlas で、組織の Federation Management コンソールに移動します。

まだ表示されていない場合は、以下から目的の組織を選択しますナビゲーションバーのOrganizationsメニュー
サイドバーで、 Identity & Access見出しの下のFederationをクリックします。
[Open Federation Management App] をクリックします。

フェデレーションページが表示されます。

Identity Providers左側のサイドバーで [] をクリックします。

[ Workforce IdP ] カードまでスクロールします。

[Manage ドロップダウンをクリックし、Revoke JWKS をクリックします。

Revoke[ をクリックします。

Revokeをクリックすると、MongoDB は JWKS エンドポイントを介して新しいキーを取得します。 JWKS を取り消してからクライアント（ mongoshやCompassなど）を再起動する必要があります。

ワークフォース IdP 構成の削除

Workforce IdP の構成を削除するには

In Atlas で、組織の Federation Management コンソールに移動します。

まだ表示されていない場合は、以下から目的の組織を選択しますナビゲーションバーのOrganizationsメニュー
サイドバーで、 Identity & Access見出しの下のFederationをクリックします。
[Open Federation Management App] をクリックします。

フェデレーションページが表示されます。

Workforce IdP に接続した各組織の接続を切断します。

左側のサイドバーで [ Organizations ] をクリックします。
Workforce IdP が有効になっている組織をクリックします。
Workforce IdP カードのManageドロップダウンの下にあるDisconnectをクリックします。
Disconnect identity provider?モーダルで、 Disconnectをクリックします。
IdP を切断すると、 IdPを使用して認証するユーザーは、 Projectテーブルにリストされている Atlas プロジェクトの Workforce IdPにアクセスできなくなります。

Identity Providers左側のサイドバーで [] をクリックします。

[Workforce IdP] カードで、Manage ドロップダウンをクリックし、Delete Identity Provider をクリックします。

Delete Identity Provider?モーダルで、 Deleteをクリックします。

Atlas CLI を使用した Workforce IdP の管理

Atlas CLI を使用して、組織の Workforce IdP 構成を管理できます。

Workforce IdP 認証の構成

Atlas CLI を使用して OIDC IdPを作成するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings identityProvider create oidc [displayName] [options]

コマンド構文とパラメーターの詳細については、Atlas CLI ドキュメントのatlas federatedAuthentication federationSettings identityProvider create oidcを参照してください。

組織内での従業員 IdP の有効化

Atlas CLI を使用して組織にIdPを接続するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings connectedOrgConfigs connect [options]

コマンドの構文とパラメーターについて詳しくは、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings connectedOrgConfigs connect. を参照してください。

Workforce IdP 構成の表示

すべての ID プロバイダーを一覧表示するには:

Atlas CLI を使用してフェデレーション設定の IdP を一覧表示するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings identityProvider list [options]

コマンド構文とパラメーターの詳細については、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings identityProvider list. を参照してください。

特定のIdPの詳細を表示するには、以下の手順に従います。

Atlas CLI を使用してフェデレーション設定から指定されたIdPを説明するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings identityProvider describe <identityProviderId> [options]

コマンドの構文とパラメーターについて詳しくは、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings identityProvider describe. を参照してください。

フェデレーション設定を表示するには:

Atlas CLI を使用して、指定した組織のフェデレーション設定の詳細を返すには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings describe [options]

コマンドの構文やパラメーターについて詳しくは、Atlas CLI ドキュメントのatlas federatedAuthentication federationSettings describeを参照してください。

ワークフォース IdP 構成の更新

Atlas CLI を使用して OIDC IdPを更新するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings identityProvider update oidc [identityProviderId] [options]

コマンド構文とパラメーターの詳細については、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings identityProvider 更新 oidc. を参照してください。

接続された組織の表示と管理

接続されている組織を一覧表示するには:

Atlas CLI を使用して接続された組織の構成を一覧表示するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings connectedOrgConfigs list [options]

コマンドの構文とパラメーターの詳細については、Atlas CLI ドキュメントの Atlas federatedAuthentication federationSettings connectedOrgConfigs list. を参照してください。

接続済み組織の詳細を表示するには :

Atlas CLI を使用して接続された組織の構成を記述するには、次のコマンドを実行する。

atlas federatedAuthentication federationSettings connectedOrgConfigs describe [options]

コマンドの構文やパラメーターについて詳しくは、Atlas CLI ドキュメントのatlas federatedAuthentication federationSettings connectedOrgConfigs describeを参照してください。

接続済み組織を更新するには:

Atlas CLI を使用して 1 つのフェデレーション設定に接続された 1 つの組織構成を更新するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings connectedOrgConfigs update [options]

コマンドの構文とパラメーターの詳細については、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings connectedOrgConfigs 更新. を参照してください。

接続済み組織を削除するには :

Atlas CLI を使用して接続済み組織のコンフィギュレーション組織を削除するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings connectedOrgConfigs delete [options]

コマンド構文とパラメーターの詳細については、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings connectedOrgConfigs 削除する. を参照してください。

Revoke JWKS

Atlas CLI を使用してフェデレーション設定から指定されたIdPの JWK トークンを取り消すには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings identityProvider revokeJwk <identityProviderId> [options]

コマンド構文とパラメーターの詳細については、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings identityProvider revokeJwk. を参照してください。

ワークフォース IdP 構成の削除

組織を切断するには以下の手順に従います。

Atlas CLI を使用して組織からIdPを切断するには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings connectedOrgConfigs disconnect [options]

コマンドの構文とパラメーターについて詳しくは、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings connectedOrgConfigs disconnect. を参照してください。

IdPを削除するには

Atlas CLI を使用してフェデレーション設定から指定したIdPを除くには、次のコマンドを実行します。

atlas federatedAuthentication federationSettings identityProvider delete <identityProviderId> [options]

コマンド構文とパラメーターの詳細については、Atlas CLI ドキュメントの atlas federatedAuthentication federationSettings identityProvider 削除する. を参照してください。

戻る

OIDC/OAuth 2.0

ワークロード（アプリケーション）

必要なアクセス権

手順

外部 ID プロバイダー アプリケーションを構成する

注意

注意

Atlas に新しいアプリケーションを登録します。

Redirect URL の値を http://localhost:27097/redirect に設定します。

（条件付き）グループで認証する場合は、groups クレームを追加または有効にします。

アプリケーションを登録します。

グループ クレームを追加します。

アクセス トークンにユーザー識別子クレームを追加します。

マニフェストを更新します。

メタデータを記憶します。

Okta でアプリケーションを作成します。

New Native App Integration を設定します。

PKCE を構成し、クライアントIDを取得します。

承認サーバー の追加。

発行者 URI を検索して保存します。

Groupsクレームを追加しました。

アクセス ポリシーを作成します。

アクセス ポリシーのルールを作成します。

グループを作成します。

組織にユーザーを追加します 。

Workforce IdP 認証の構成

注意

前提条件

In Atlas で、組織の Federation Management コンソールに移動します。

識別プロバイダーを構成します。

次のワークフォース IdP のプロトコル設定を入力します。

Save and Finish[ をクリックします。

（任意）ドメインを Workforce IdP に関連付けます。

注意

組織内で従業員 IdP を有効にします。

注意

Workforce Identity Federation for Data Accessを選択します。

Connect[ をクリックします。

強制認証を使用したデータベースユーザーの追加

Atlas で、プロジェクトの Database & Network Access ページに移動します。

Add New Database User or Group ダイアログ ボックスを開きます。

注意

Federated Authを選択します。

注意

[IdP] と ID を選択します

注意

ユーザーまたはグループの特権を割り当てます。

注意

ユーザーまたはグループがアクセスできるプロジェクト内のリソースを指定します。

一時ユーザーまたはグループとして保存します。

新しいデータベースユーザーまたはグループを追加します。

Workforce IdP を使用したクライアントのMongoDBへの接続

注意

既存のワークフォース IdP 構成を管理する

Workforce IdP 構成の表示

In Atlas で、組織の Federation Management コンソールに移動します。

Identity Providers左側のサイドバーで [] をクリックします。

ワークフォース IdP 構成の更新

In Atlas で、組織の Federation Management コンソールに移動します。

Identity Providers左側のサイドバーで [] をクリックします。

[Workforce IdP] カードで、Manage ドロップダウンをクリックし、Edit Configuration をクリックします。

変更を加え、[]Save をクリックします。

接続された組織の表示と管理

In Atlas で、組織の Federation Management コンソールに移動します。

Organizations左側のサイドバーで [] をクリックします。

Revoke JWKS

注意

ワークフォース ID プロバイダーで署名キーを更新します。

In Atlas で、組織の Federation Management コンソールに移動します。

Identity Providers左側のサイドバーで [] をクリックします。

[ Workforce IdP ] カードまでスクロールします。

[Manage ドロップダウンをクリックし、Revoke JWKS をクリックします。

Revoke[ をクリックします。

ワークフォース IdP 構成の削除

In Atlas で、組織の Federation Management コンソールに移動します。

Workforce IdP に接続した各組織の接続を切断します。

Identity Providers左側のサイドバーで [] をクリックします。

[Workforce IdP] カードで、Manage ドロップダウンをクリックし、Delete Identity Provider をクリックします。

Atlas CLI を使用した Workforce IdP の管理

Workforce IdP 認証の構成

組織内での従業員 IdP の有効化

Workforce IdP 構成の表示

外部 ID プロバイダーアプリケーションを構成する

Redirect URL の値を `http://localhost:27097/redirect` に設定します。

グループクレームを追加します。

アクセストークンにユーザー識別子クレームを追加します。

承認サーバーの追加。

アクセスポリシーを作成します。

アクセスポリシーのルールを作成します。

組織にユーザーを追加します。

Add New Database User or Group ダイアログボックスを開きます。