AI エージェント向け: ドキュメントインデックスは https://www.mongodb.com/ja-jp/docs/llms.txt で利用できます。すべてのページの markdown バージョンは、いずれかの URL パスに .md を追加することで利用できます。
Docs Menu
Docs Home
/ /
セキュリティ
Docs Home
/
管理
/
Ops Manager
/
セキュリティ
Docs Home
/
管理
/
Ops Manager
/
セキュリティ

MongoDB Ops Manager の SAML 認証

セキュリティ アサーション マークアップ言語（ SAML ）サービスを実行する ID プロバイダー（ IdP ）を使用して、 のユーザー認証と認可を管理できます。MongoDB Ops Manager認証されたセッションなしでMongoDB Ops Managerに移動しようとすると、 MongoDB Ops ManagerはログインするIdPにユーザーを送信します。 認証が完了すると、MongoDB Ops Manager アプリケーションに戻ります。

このチュートリアルでは、次の方法について説明します。

Considerations

SAML アクティブ化後もユーザーは認証され続けます

SAML認証を使用するように MongoDB Ops Manager インスタンスを変更すると、すべてのユーザーは現在のセッションにログインしたままになります。 認証の変更後、MongoDB Ops Manager にログインしようとするユーザーは、 SAML IdPにリダイレクトされます。

2 段階構成

SAMLインスタンスを設定すると循環ロジックが適用されます。 ワーキング統合を作成するには、次の手順に従います。

  • IdP にはサービスプロバイダーからの値が必要で、

  • サービス プロバイダーにはIdPからの値が必要です。

この統合を開始するには、前提条件に従って、次にこのチュートリアルの 手順 に従います。

前提条件

SAML 統合を構成するには、 SAML IdP に対して次のアクションを実行する必要があります。

  1. SAML IdPをインストールします。

  2. Ops Managerインスタンスがネットワーク経由で IdP にアクセスできることを確認します。

  3. SAML IdPでは、次の操作を行う必要があります。

    1. MongoDB Ops Manager グローバル オーナーにマッピングするSAMLユーザーを作成します。

    2. Ops Manager にマッピングできる SAML グループを作成します。Global Owner

    3. Global Owner SAMLグループをSAMLユーザーに割り当てます。

    4. MongoDB Ops Managerを表すMongoDB Ops Manager Manager の新しいアプリケーションを作成します。

    5. この新しいアプリケーションの初期 Ops Manager SAML 値を設定します。

      1. 次のフィールドにプレースホルダー値を設定します。

        • SP Entity ID or Issuer
        • Audience URI
        • Assertion Consumer Service (ACS) URL

      2. IdP内の次のフィールドに実際の値を設定します。

        フィールド
        共通値
        Signature Algorithm

        IdP には、次の値が 1 つ以上ある場合があります。

        • rsa-sha1

        • dsa-sha1

        • rsa-sha256

        • rsa-sha384

        • rsa-sha512

        Name ID

        Email Address

        Name ID Format

        urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

      3. 次の属性値の 属性名 を使用して属性を作成します。

        • アドレス

        • 名

        • 姓

        • ユーザー グループ

      4. 署名された SAML 応答とアサーションを要求するように IdP を構成します。

      5. これらの値を保存します。

手順

SAML認証を構成するには次のようにします。

1

IdP にログインします。

2

Copy SAML IdP values.

IdP から、次の Ops Managerアプリケーションをクリックします。

  1. MongoDB Ops Managerメタデータの値を見つけます。

  2. 次の値を一時ファイルにコピーします。

    • SAML Login URL

    • SAML Logout URL

    • X.509 Certificate （ IdPの場合）

    • IdP Entity ID or Issuer

    • Signature Algorithm

3

User AuthenticationOps Manager Configページの タブに移動します。

MongoDB Ops Managerアプリケーションを開き、次のドキュメントに移動します: Admin General Ops Manager Config User Authentication。

4

User AuthenticationオプションをSAML に設定します。

5

Ops Manager で必要な SAML IdP 設定値を設定します。

次の SAML フィールドに IdP からの値を入力します。

フィールド
必要性
アクション
default

ID プロバイダー URI

必須

シングル サインオンを調整するために使用する IdP の URI を入力します。

この URI IdP Entity ID or Issuerは、SAML IdP の です。

この URI Issuer URIは、SAML 応答の と同じである必要があります。

なし

SSO エンドポイント URL

必須

IdP の シングル サインオン URL を入力します。

このURLは SAML Login URLIdP からの です。

なし

SLO Endpoint URL

任意

Ops Manager ユーザーが Ops Manager からログアウトするときに、Ops Manager ユーザーが IdP からログするようにするには、呼び出す SAML IdP URL を入力します。

これはIdPのSAML Logout URLです。

なし

ID プロバイダーx509証明書

必須

このフィールドに IdP の X. 証明書を貼り付けます。509 IdP は PEM形式で証明書を提供します。 -----BEGIN CERTIFICATE-----で始まり、-----END CERTIFICATE----- で終わる証明書コンテンツ全体を含めてください。 MongoDB Ops Manager はこの証明書を使用して、 IdP で自分自身を検証します。

これはIdPのX.509 Certificateです。

これは、SAML 応答およびアサーションに署名するために使用するのと同じX.509 Certificateである必要があります。

なし

IdP 署名アルゴリズム

必須

IdPとの間で送受信される署名を暗号化するために使用されるアルゴリズムを選択します。 指定できる値は以下のとおりです。

  • rsa-sha1

  • dsa-sha1

  • rsa-sha256

  • rsa-sha384

  • rsa-sha512

これはIdPのSignature Algorithmです。

なし

暗号化されたアサーションが必要

任意

IdPがMongoDB Ops Managerに送信するアサーションを暗号化するかどうかを選択します。

false

グローバル ロール オーナー グループ

必須

SAML グループ メンバー属性に、すべてのグループへのフル アクセスとすべての管理権限を含む、この配置に対する完全な権限を持つグループの名前を入力します。このグループには、この Ops ManagerインスタンスのGlobal Owner ロールがあります。

このグループを 前提条件 の一部として IdP 設定に追加しました。

この値は、 SAML 応答で送信されたグループ ノードの属性値と一致する必要があります。 IdP としてAzure AD を使用する場合は、グループ名の代わりにグループのオブジェクトID をこのフィールドに入力します。

なし

ユーザー名の SAML 属性

必須

ユーザーの名を含むSAML属性の名前を入力します

なし

ユーザーの姓のSAML属性

必須

ユーザーの姓を含むSAML属性の名前を入力する

なし

ユーザー メールのSAML属性

必須

ユーザーのメールアドレスを含む SAML 属性の名前を入力します。

なし

SAML グループ ノードの属性

必須

MongoDB Ops Manager がロールをプロジェクトおよび組織にマッピングするために使用するグループのリストを含む SAML 属性の名前を入力します。

groups

6

必要なオプションの SAML IdP 設定を Ops Manager に追加します。

次の SAML フィールドに IdP からの値を入力します。

フィールド
必要性
アクション
default

SP 証明書 PEM キー ファイルへのパス

任意

サービス プロバイダーがリクエストに署名するために使用する PEM 形式の証明書への絶対ファイルパスを入力します。この証明書には、秘密キーと公開キーが含まれています。

このフィールドを空白のままにすると、次のようになります。

  • MongoDB Ops Manager は IdP への SAML 認証リクエストに署名しません。

  • SAMLアサーションを暗号化することはできません。

なし

SP 証明書 PEM キー ファイルのパスワード

条件付き

SP PEMファイル内の秘密キーを暗号化した場合は、このフィールドにそのパスワードを入力します。

なし

グローバル オートメーション管理者ロール

任意

Global Automation Adminロールを持つメンバーを入力します。

この値は、 SAML 応答で送信されたグループ ノードの属性値と一致する必要があります。 IdP としてAzure AD を使用する場合は、グループ名の代わりにグループのオブジェクトID をこのフィールドに入力します。

なし

グローバルバックアップ管理者ロール

任意

Global Backup Adminロールを持つメンバーを入力します。

この値は、 SAML 応答で送信されたグループ ノードの属性値と一致する必要があります。 IdP としてAzure AD を使用する場合は、グループ名の代わりにグループのオブジェクトID をこのフィールドに入力します。

なし

グローバル モニタリング管理者ロール

任意

Global Monitoring Adminロールを持つメンバーを入力します。

この値は、 SAML 応答で送信されたグループ ノードの属性値と一致する必要があります。 IdP としてAzure AD を使用する場合は、グループ名の代わりにグループのオブジェクトID をこのフィールドに入力します。

なし

グローバル ユーザー管理者ロール

任意

Global User Adminロールを持つメンバーを入力します。

この値は、 SAML 応答で送信されたグループ ノードの属性値と一致する必要があります。 IdP としてAzure AD を使用する場合は、グループ名の代わりにグループのオブジェクトID をこのフィールドに入力します。

なし

グローバル読み取り専用ロール

任意

Global Read Onlyロールを持つメンバーを入力します。

この値は、 SAML 応答で送信されたグループ ノードの属性値と一致する必要があります。 IdP としてAzure AD を使用する場合は、グループ名の代わりにグループのオブジェクトID をこのフィールドに入力します。

なし

7

[Save] をクリックします。

8

グローバル所有者としてログインします。

MongoDB Ops Manager SAML Global Role Owner フィールドで指定された SAML グループのメンバーであるユーザーとしてMongoDB Ops Managerにログインします。

ログインが成功すると、MongoDB Ops Manager にプロジェクト ページが表示されます。

9

SAML グループをプロジェクト ロールに関連付けます。

新しいプロジェクトで、SAML グループをロールに関連付けるには、次の手順に従います。

注意

新しいプロジェクトを作成するには、任意のグローバル ロールが必要です。

  1. [ Admin > [ General > [ Projects ] をクリックします。

  2. [Create a New Project] をクリックします。

  3. Project Name に、新しいMongoDB Ops Managerプロジェクトの名前を入力します。

  4. 各プロジェクト ロールに対応する SAML グループを入力します。

    重要

    各グループに対して、完全修飾識別名を使用する必要があります。 複数の LDAP または SAML グループが同じロールに対応する場合は、2 つのセミコロンで区切ります（ ;; ）。 ロールの フィールドからグループを削除して、そのロールに対するグループのアクセスを取り消します。

  5. [Add Project] をクリックします。

既存のプロジェクトで、SAML グループとロールの関連付けを更新するには次のようにします。

  1. [ Admin > [ General > [ Projects ] をクリックします。

  2. プロジェクトのActions列で、次をクリックします[] をクリックし、[ Edit SAML Settings ] をクリックします。

  3. 各プロジェクト ロールに対応する SAML グループを入力します。

    重要

    各グループに対して、完全修飾識別名を使用する必要があります。 複数の LDAP または SAML グループが同じロールに対応する場合は、2 つのセミコロンで区切ります（ ;; ）。 ロールの フィールドからグループを削除して、そのロールに対するグループのアクセスを取り消します。

  4. [Save Changes] をクリックします。

10

任意: SAML グループを組織ロールに関連付けます。

SAML グループを新しい組織のロールに関連付けるには、次の手順に従います。

注意

新しい組織を作成するには、任意のグローバル ロールが必要です。

  1. [ Admin > [ General > [ Organizations ] をクリックします。

  2. [Create a New Organization] をクリックします。

  3. Organization Name に新しいMongoDB Ops Manager組織の名前を入力します。

  4. 各組織ロールに対応する SAML グループを入力します。

    重要

    各グループに対して、完全修飾識別名を使用する必要があります。 複数の LDAP または SAML グループが同じロールに対応する場合は、2 つのセミコロンで区切ります（ ;; ）。 ロールの フィールドからグループを削除して、そのロールに対するグループのアクセスを取り消します。

  5. [Add Organization] をクリックします。

既存の組織の、ロールと SAML グループの関連付けを更新するには:

  1. [ Admin > [ General > [ Organizations ] をクリックします。

  2. Edit Orgボタンをクリックします。

  3. 各組織ロールに対応する SAML グループを入力します。

    重要

    各グループに対して、完全修飾識別名を使用する必要があります。 複数の LDAP または SAML グループが同じロールに対応する場合は、2 つのセミコロンで区切ります（ ;; ）。 ロールの フィールドからグループを削除して、そのロールに対するグループのアクセスを取り消します。

  4. [Save Changes] をクリックします。

11

MongoDB 配置を追加します。

MongoDB 配置を追加するときに SAML 認証設定を指定します。

12

MongoDB Ops Managerメタデータをエクスポートします。

SAML 構成を保存すると、Download the Metadata XML File へのリンクが表示されます。

このリンクをクリックして、 SAML SPメタデータXMLファイル をダウンロードします。

このメタデータ ファイルは次の例のようになります。

1<?xml version="1.0"?>
2<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" validUntil="2019-09-13T20:36:00Z" cacheDuration="PT604800S" entityID="http://ec2-3-88-178-252.compute-1.amazonaws.com:8080" ID="ONELOGIN_f95ad815-e8da-4ab3-a799-3c581484cd6a">
3  <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
4    <md:SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="http://ec2-3-88-178-252.compute-1.amazonaws.com:8080/saml/logout"/>
5    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
6    <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="http://ec2-3-88-178-252.compute-1.amazonaws.com:8080/saml/assert" index="1"/>
7  </md:SPSSODescriptor>
8</md:EntityDescriptor>
13

SAML SP メタデータを IdP にインポートします。

IdP で オプションが提供される場合は、メタデータを IdP にインポートします。 Ops Manager は、 IdP のサービス プロバイダー（SP）として機能します。

IdP へのメタデータXMLファイルで次の値を指定します。

フィールド
共通値

SP Entity ID or Issuer

<OpsManagerHost>:<Port>

Audience URI

<OpsManagerHost>:<Port>

Assertion Consumer Service (ACS) URL

<OpsManagerHost>:<Port>/saml/assert

Single Logout URL

<OpsManagerHost>:<Port>/saml/logout

これらの値の 1 つ以上が欠落している場合は、前の表に記載されているガイドラインを使用してそれらの値を設定します。

これらの値を IdP に保存します。

14

Ops Manager と IdP 間の SAML 統合をテストします。

  1. プライベート ブラウザ ウィンドウで、 インスタンスにGo MongoDB Ops Managerします。

    IdPにリダイレクトされます。

  2. IdPで認証します。

    次に、 MongoDB Ops Managerインスタンスにリダイレクトされます。

戻る
LDAP の構成
次へ
OIDC の構成
このページを評価

項目一覧