AI エージェント向け: ドキュメントインデックスは https://www.mongodb.com/ja-jp/docs/llms.txt で利用できます。すべてのページの markdown バージョンは、いずれかの URL パスに .md を追加することで利用できます。

OIDC 認証用のMongoDB Agent の構成

Overview

MongoDB Agent（オートメーション、モニタリング、バックアップを含む）を構成して、OIDCワークロードIDフェデレーションを使用してMongoDB配置への認証を行うことができます。OIDCを使用すると、エージェントは長期的なデータベース認証情報の代わりに、IdP（IdP）からの短期間のトークンを使用します。エージェントは、これらのトークンが期限切れになる前に自動的に更新します。

このチュートリアルでは、次の方法について説明します。

  • Ops Manager の MongoDB 配置で OIDC 認証を有効にします。

  • OIDC IdP 構成を登録します。

  • OIDC接続を使用するようにMongoDB Agentを構成します。

Considerations

元に戻すことができない認証方法

Workload Federation 用のMongoDB Agent を構成した後は、ローカル認証に戻すことはできません。

トークンリフレッシュ

MongoDB Agentは、OIDCトークンの有効期限が切れる前に自動的に更新します。トークンの有効期間はIdPの設定によって異なり、通常は5分から60分の範囲です。

共有エージェントの構成

OIDC構成は、オートメーション、モニタリング、バックアップというすべてのエージェント機能に適用されます。各機能を個別に構成する必要はありません。

前提条件

OIDC認証用にMongoDB Agentを構成する前に、MongoDB配置でOIDCワークロード Identity Federationを有効にします。詳細については、「OAuth 2.0 を使用したワークロード Identity Federationの設定」を参照してください。

手順

MongoDB Agent の OIDC 認証を構成するには、次の手順に従います。

1

セキュリティ 設定に移動します。

Ops Manager で、プロジェクトに移動します。左側のナビゲーションで [Deployment]、[Security] の順にクリックし、[Settings]タブを選択します。

注意

プロジェクトにセキュリティを設定していない場合、バナーは ネットワーク暗号化、認証、認可 を設定するように要求します。設定にアクセスするには、Get Started をクリックします。

2

OIDC認証 を有効にします。

MongoDB Deployment Authentication Mechanismセクションで、[Federated Auth (OIDC)] を選択します。

3

OIDC ID プロバイダー構成を追加します。

  1. OIDC Connection and Authorizationセクションで、 + OIDC IdP Configurationをクリックします。

  2. OIDC Protocol Settingsウィンドウで、Workload Identity Federation を選択します。

  3. IdP の詳細を入力します。

    フィールド
    説明
    Configuration Name

    MongoDB Ops Managerにおけるこの IdP 設定を識別するプレフィックス。

    Issuer URI

    アクセストークンを発行する IdP の URI。

    Audience

    IdPが発行するJSON web tokenのaudクレームと一致する必要があります。

    Authorization Method

    IdPの設定に基づいて、User IDまたはGroup Membershipを選択します。

    Customize User Claim

    ユーザーを識別するクレーム。デフォルトは sub です。

  4. [Save Configuration] をクリックします。

4

配置へのエージェント接続を構成します。

  1. MongoDB Agent Connections to Deploymentセクションで、[Workload Federation] を選択します。

    重要

    Workload Federation を使用して配置した後は、 MongoDB Agent をローカル認証に戻すことはできません。

  2. エージェント認証の詳細を入力します。

    フィールド
    説明
    OIDC IdP Configuration

    MongoDB Agentが認証に使用するIdP設定。前のステップで作成した設定を選択します。

    User Identifier

    ユーザー プリンシパル クレームの値。MongoDB Ops Manager はMongoDBユーザーを [configuration name]/[user identifier] として作成します。

    Authentication Method

    エージェントの IdP 接続の認証方法。Okta などの標準的な IdP 統合には Client Credentials を選択し、Azure または GCP 上のクラウドネイティブなワークロード ID には Built-in を選択します。

    Client ID

    エージェントに割り当てられた OAuth 2.0クライアントID 。Client Credentials を使用する場合は必須です。

    Client Secret

    エージェントに割り当てられた OAuth 2.0クライアントシークレット。Client Credentials を使用する場合は必須です。

    Tip

    IdPがAzureやGCPなどのクラウドネイティブなワークロードIDを使用している場合は、Built-inを選択します。Client ID または Client Secret を指定する必要はありません。

  3. [Save Settings] をクリックします。

5

変更を確認して配置します。

  1. Review Your Changes モーダルで、配置の差を確認します。差分に Auth Mechanisms: MONGODB-OIDC が表示され、Auth の下にワークロード Federation の詳細が表示されていることを確認します。

  2. 配置を確認します。

MongoDB Ops Managerが変更を適用すると、MongoDB Agentは自動的に更新された構成を受信し、 IdP から初期の OIDC トークンを取得します。エージェントは、再起動なしでOIDC認証に移行します。

ダウンタイムなしでエージェント認証情報をローテーション

MongoDB Agentを再起動せずにエージェントのOIDCクライアントシークレットをローテーションするには、次の手順を実行します。

1

IdP で新しいクライアントシークレットを生成します。

IdPで、この配置に使用するOAuth/OIDCアプリケーションを開き、新しいクライアントシークレットを生成します。既存のシークレットはまだ取り消さないでください。

2

Ops Manager でシークレットを更新します。

  1. Ops Manager で、プロジェクトに移動します。[Deployment、Security をクリックし、Settingsタブを選択します。

  2. MongoDB Agent Connections to Deployment で Workload Federation を選択します。

  3. Client Secret に新しいシークレットを入力し、Save Settings をクリックします。

  4. 配置を確認して確認します。

3

MongoDB Agent がトークンを更新するまで待ちます（通常は 1 時間以内）。

4

IdP で古いシークレットを取り消します。

戻る
TLS の構成
次へ
設定ファイルとパスワードの管理
このページを評価

項目一覧