/ /

/ /

OIDC （ワークロード IdP）

Overview

OpenID Connect（OIDC）認証メカニズムを使用すると、 AzureやGoogle Cloud Platform （GCP ）などのサードパーティのIdPを使用してMongoDBに認証できます。

このメカニズムは、 MongoDB AtlasまたはMongoDB Enterprise Advancedに認証されている場合、およびMongoDB v7.0 以降に認証されている場合にのみ使用できます。

Tip

OIDC 認証

MongoDB Atlas をOIDC認証用に構成する方法の詳細については、Atlas ドキュメントの「OIDC を使用した Workforce IdP の設定」を参照してください。

MongoDBで OIDC認証を使用する方法の詳細については、 MongoDBサーバーマニュアルの「OpenID Connect 認証」と「MongoDB Serverパラメーター」を参照してください。

次のセクションでは、MONGODB-OIDC 認証メカニズムを使用してさまざまなプラットフォームに認証する方法について説明します。

Azure IMDS

アプリケーションがAzure VM 上で実行される場合、またはAzure Instance Metadata Service（MDS）を使用する場合は、 Kotlinドライバーに組み込まれているAzureサポートを使用してMongoDBを認証できます。

Azure IMDS OIDC認証を指定するには、接続文字列で認証情報を指定するか、MongoCredentialインスタンスを使用します。 Azure IMDS OIDC認証を指定する方法については、 Connection String タブまたは MongoCredentialタブを選択してください。

次のコード内の<percent-encoded audience>プレースホルダーを、MongoDB 配置に構成されたオーディエンスサーバーパラメータのパーセントエンコードされた値に置き換えます。

カンマ（,）文字とそのエンコーディング（%2C）は予約されており、これらの文字を値で使用すると、ドライバーはカンマをキーと値のペアの区切り文字として解釈します。MongoCredentialインスタンスでは、カンマを含む値を指定する必要があります。

val connectionString = ConnectionString(
    "mongodb://<OIDC principal>@<hostname>:<port>/?" +
        "?authMechanism=MONGODB-OIDC" +
        "&authMechanismProperties=ENVIRONMENT:azure,TOKEN_RESOURCE:<percent-encoded audience>")
val mongoClient = MongoClient.create(connectionString)

<OIDC principal>プレースホルダーを、Azure が管理する IdP またはエンタープライズアプリケーションのクライアント ID またはアプリケーション ID に置き換えます。 <audience>プレースホルダーを、MongoDB 配置に構成されたaudienceサーバーパラメータの値に置き換えます。

val credential = MongoCredential.createOidcCredential("<OIDC principal>")
    .withMechanismProperty("ENVIRONMENT", "azure")
    .withMechanismProperty("TOKEN_RESOURCE", "<audience>")
val mongoClient = MongoClient.create(
        MongoClientSettings.builder()
            .applyToClusterSettings { builder ->
                builder.hosts(listOf(ServerAddress("<hostname>", <port>)))
            }
        .credential(credential)
        .build())

GCP IMDS

アプリケーションがGoogle Compute Engine VM で実行される場合、またはGCPインスタンスメタデータサービスを使用する場合は、 Kotlinドライバーに組み込まれているGCPサポートを使用してMongoDBを認証できます。

GCP IMDS OIDC認証を指定するには、接続文字列で認証情報を指定するか、MongoCredentialインスタンスを使用します。

val connectionString = ConnectionString(
    "mongodb://<OIDC principal>@<hostname>:<port>/?" +
            "authMechanism=MONGODB-OIDC" +
            "&authMechanismProperties=ENVIRONMENT:gcp,TOKEN_RESOURCE:<percent-encoded audience>")
val mongoClient = MongoClient.create(connectionString)

<audience>プレースホルダーを、MongoDB 配置に構成されたaudienceサーバーパラメータの値に置き換えます。

val credential = MongoCredential.createOidcCredential("<OIDC principal>")
    .withMechanismProperty("ENVIRONMENT", "gcp")
    .withMechanismProperty("TOKEN_RESOURCE", "<audience>")
val mongoClient = MongoClient.create(
    MongoClientSettings.builder()
        .applyToClusterSettings { builder ->
            builder.hosts(listOf(ServerAddress("<hostname>", <port>)))
        }
        .credential(credential)
        .build())

Kubernetes

アプリケーションがKubernetesクラスターで実行される場合は、 Kotlinドライバーに組み込まれているKubernetesサポートを使用してMongoDBに認証できます。 Kubernetes OIDC認証を指定するには、接続文字列で認証情報を指定するか、MongoCredentialインスタンスを使用します。

認証メカニズムとしてKubernetes OIDC を指定するには、接続文字列に次のオプションを設定します。

authMechanism: MONGODB-OIDCに設定します。
authMechanismProperties: ENVIRONMENT:k8sに設定します。

val connectionString = ConnectionString(
    "mongodb://<OIDC principal>@<hostname>:<port>/?" +
            "authMechanism=MONGODB-OIDC" +
            "&authMechanismProperties=ENVIRONMENT:k8s,TOKEN_RESOURCE:<percent-encoded audience>")
val mongoClient = MongoClient.create(connectionString)

hostname と port を、 MongoDBデプロイのネットワークアドレスとポート番号に置き換えます。また、<audience> プレースホルダーを、 MongoDBデプロイに構成されている audienceサーバーパラメータの値に置き換えます。

val credential = MongoCredential.createOidcCredential("<OIDC principal>")
    .withMechanismProperty("ENVIRONMENT", "k8s")
    .withMechanismProperty("TOKEN_RESOURCE", "<audience>")
val mongoClient = MongoClient.create(
    MongoClientSettings.builder()
        .applyToClusterSettings { builder ->
            builder.hosts(listOf(ServerAddress("<hostname>", <port>)))
        }
        .credential(credential)
        .build())

カスタムコールバック

Kotlin ドライバーは、Azure Functions や Azure Kubernetes Service（AKS）を含むすべてのプラットフォームの組み込みサポートを提供していません。代わりに、OIDC を使用してこれらのプラットフォームから認証するためのカスタムコールバックを定義する必要があります。そのためには、次のコード例に示すように、 "OIDC_CALLBACK"認証プロパティを使用します。

val credential = MongoCredential.createOidcCredential(null)
    .withMechanismProperty("OIDC_CALLBACK") { context: Context ->
        val accessToken = "..."
        OidcCallbackResult(accessToken)
    }

"OIDC_CALLBACK"プロパティの値は、 OidcCallbackContextをパラメータとして受け入れ、 OidcCallbackResultを返すOidcCallback関数インターフェースの Lambda またはその他の実装である必要があります。

次の例では、サンプルコールバックを使用して、ローカルファイルシステム内の"access-token.dat"という名前のファイルから OIDC トークンを検索します。

val credential = MongoCredential.createOidcCredential(null)
    .withMechanismProperty("OIDC_CALLBACK") { context: Context ->
        val accessToken = String(Files.readAllBytes(Paths.get("access-token.dat")))
        OidcCallbackResult(accessToken)
    }
val mongoClient = MongoClient.create(
    MongoClientSettings.builder()
        .applyToClusterSettings { builder ->
            builder.hosts(listOf(ServerAddress("<hostname>", <port>)))
        }
        .credential(credential)
        .build()
)

戻る

AWS IAM

LDAP (PLAIN)