OIDC （ワークロード IdP）

コード プレースホルダー

このページのコード例では、次のプレースホルダーを使用します。

• <username>: Azureマネージド ID または エンタープライズアプリケーションのクライアントIDまたはアプリケーションID 。 Azure IMDS認証に使用されます。

• <hostname>: MongoDBデプロイのネットワーク アドレス。

• <port>: MongoDBデプロイのポート番号。 このパラメーターを省略すると、ドライバーはデフォルトのポート番号（27017）を使用します。 MongoDB Atlasクラスターに接続する場合、ポート番号は必要ありません。

• <audience> または <percent-encoded audience>: MongoDBデプロイに構成された audienceサーバーパラメータの値。接続文字列で指定する場合、この値を パーセント エンコード します。

コード例を使用するには、これらのプレースホルダーを独自の値に置き換えます。

Azure IMDS

アプリケーションがAzure VM 上で実行される場合、またはAzure Instance Metadata Service（MDS）を使用する場合は、 Java Reactive Streams ドライバーに組み込まれているAzureサポートを使用してMongoDBを認証できます。

Azure IMDS OIDC 認証は、MongoCredential を使用するか、 接続stringの一部として指定できます。

対応する構文を表示するには、Connection String タブまたは MongoCredential タブから を選択します。

MongoClient mongoClient = MongoClients.create(
            "mongodb://<username>@<hostname>:<port>/?" + 
            "?authMechanism=MONGODB-OIDC" +
            "&authMechanismProperties=ENVIRONMENT:azure,TOKEN_RESOURCE:<percent-encoded audience>");

MongoCredential credential = MongoCredential.createOidcCredential("<username>")
.withMechanismProperty("ENVIRONMENT", "azure")  
.withMechanismProperty("TOKEN_RESOURCE", "<audience>");
MongoClient mongoClient = MongoClients.create(
 MongoClientSettings.builder()
     .applyToClusterSettings(builder ->
             builder.hosts(Arrays.asList(new ServerAddress("<hostname>", <port>))))
     .credential(credential)
     .build());

GCP IMDS

アプリケーションがGoogle Compute Engine VM で実行される場合、またはGCPインスタンス メタデータ サービスを使用する場合は、 Java Reactive Streams ドライバーに組み込まれているGCPサポートを使用してMongoDBを認証できます。

GCP IMDS OIDC 認証は、MongoCredential を使用するか、接続stringの一部として指定できます。

対応する構文を表示するには、Connection String タブまたは MongoCredential タブから を選択します。

MongoClient mongoClient = MongoClients.create(
    "mongodb://<hostname>:<port>/?" +
    "authMechanism=MONGODB-OIDC" +
    "&authMechanismProperties=ENVIRONMENT:gcp,TOKEN_RESOURCE:<percent-encoded audience>");

MongoCredential credential = MongoCredential.createOidcCredential()
            .withMechanismProperty("ENVIRONMENT", "gcp")
            .withMechanismProperty("TOKEN_RESOURCE", "<audience>");
   
MongoClient mongoClient = MongoClients.create(
    MongoClientSettings.builder()
        .applyToClusterSettings(builder ->
                builder.hosts(Arrays.asList(new ServerAddress("<hostname>", <port>))))
        .credential(credential)
        .build());

Kubernetes

アプリケーションがKubernetesクラスターで実行される場合は、 Java Reactive Streams ドライバーに組み込まれているKubernetesサポートを使用して、 MongoDBに認証できます。

Connection StringMongoCredential対応する構文を表示するには、 タブまたは タブから を選択します。

MongoClient mongoClient = MongoClients.create(
   "mongodb://<hostname>:<port>/" +
   "?authMechanism=MONGODB-OIDC" +
   "&authMechanismProperties=ENVIRONMENT:k8s");

MongoCredential credential = MongoCredential.createOidcCredential(null)
   .withMechanismProperty("ENVIRONMENT", "k8s");
MongoClient mongoClient = MongoClients.create(
   MongoClientSettings.builder()
      .applyToClusterSettings(builder ->
             builder.hosts(Arrays.asList(new ServerAddress("<hostname>", <port>))))
      .credential(credential)
      .build());

認証メカニズムとしてKubernetes OIDC を指定すると、ドライバーは次のいずれかのロケーションから OIDC トークンの内容を読み取ります。

• AZURE_FEDERATED_TOKEN_FILE Azure Kubernetes Service（AKS）で実行中アプリケーションの環境変数

• AWS_WEB_IDENTITY_TOKEN_FILE Elastic Kubernetes Service（EKS）で実行中アプリケーションの環境変数

• /var/run/secrets/kubernetes.io/serviceaccount/token ファイル: Google Kubernetes Engine（GKE）で実行されるものを含む他のすべてのアプリケーションのデフォルトのロケーション

OIDC トークンは、アプリケーション の実行に使用するサービスに対応するロケーションに保存する必要があります。

カスタム コールバック

Java Reactive Streams ドライバーでは、 Azure Functions やAzure Kubernetes Service（AKS）を含むすべてのプラットフォームで組み込みサポートを提供していません。 代わりに、OIDC を使用してこれらのプラットフォームから認証するためのカスタムコールバックを定義する必要があります。 これを行うには、次のコード例に示すように、 "OIDC_CALLBACK"認証プロパティを使用します。

MongoCredential credential = MongoCredential.createOidcCredential(null)
    .withMechanismProperty("OIDC_CALLBACK", (context) ->  {
       String accessToken = ...
       return new OidcCallbackResult(accessToken);
});

"OIDC_CALLBACK"プロパティの値は、 OidcCallbackContextをパラメータとして受け入れ、 OidcCallbackResultを返すOidcCallback関数インターフェースの Lambda またはその他の実装である必要があります。

次の例では、ローカルファイルシステム内の "access-token.dat" という名前のファイルから OIDC トークンを検索します。

MongoCredential credential = MongoCredential.createOidcCredential(null)
      .withMechanismProperty("OIDC_CALLBACK", (context) ->  {
         string accessToken = new String(Files.readAllBytes(Paths.get("access-token.dat"));
         return new OidcCallbackResult(accessToken);
      });
   MongoClient mongoClient = MongoClients.create(
       MongoClientSettings.builder()
           .applyToClusterSettings(builder ->
                   builder.hosts(Arrays.asList(new ServerAddress("<hostname>", <port>))))
           .credential(credential)
           .build());