OIDC 認証用のMongoDB Agent の構成

セキュリティ 設定に移動します。

Ops Manager で、プロジェクトに移動します。左側のナビゲーションで [Deployment]、[Security] の順にクリックし、[Settings]タブを選択します。

OIDC認証 を有効にします。

MongoDB Deployment Authentication Mechanismセクションで、[Federated Auth (OIDC)] を選択します。

OIDC ID プロバイダー構成を追加します。

1. OIDC Connection and Authorizationセクションで、 + OIDC IdP Configurationをクリックします。

2. OIDC Protocol Settingsウィンドウで、Workload Identity Federation を選択します。

3. IdP の詳細を入力します。

   フィールド	説明
   Configuration Name	Ops Manager 内のこの IdP 構成を識別するプレフィックス。
   Issuer URI	アクセス トークンを発行する IdP の URI 。
   Audience	IdP が発行する JWT 内の aud クレームに一致する必要があります。
   Authorization Method	IdP 設定に基づいて、User ID または Group Membership を選択します。
   Customize User Claim	ユーザーを識別するクレーム。デフォルトは sub です。

4. [Save Configuration] をクリックします。

配置へのエージェント接続を構成します。

1. MongoDB Agent Connections to Deploymentセクションで、[Workload Federation] を選択します。

   重要

   Workload Federation を使用して配置した後は、 MongoDB Agent をローカル認証に戻すことはできません。

2. エージェント認証の詳細を入力します。

   フィールド	説明
   OIDC IdP Configuration	MongoDB Agent が認証に使用する IdP 構成。前の手順で作成した構成を選択します。
   User Identifier	ユーザー プリンシパル クレームの値。MongoDB Ops Manager はMongoDBユーザーを [configuration name]/[user identifier] として作成します。
   Authentication Method	エージェントの IdP 接続の認証方法。 Okta などの標準 IdP 統合には Client Credentials を選択し、 AzureまたはGCP上のクラウドネイティブワークロードID には Built-in を選択します。
   Client ID	エージェントに割り当てられた OAuth 2.0クライアントID 。Client Credentials を使用する場合は必須です。
   Client Secret	エージェントに割り当てられた OAuth 2.0クライアントシークレット。Client Credentials を使用する場合は必須です。

   Tip

   IdP がAzureやGCPなどのクラウドネイティブワークロードID を使用する場合は、 Built-in を選択します。 Client ID または Client Secret を指定する必要はありません。

3. [Save Settings] をクリックします。

変更を確認して配置します。

1. Review Your Changes モーダルで、配置の差を確認します。差分に Auth Mechanisms: MONGODB-OIDC が表示され、Auth の下にワークロード Federation の詳細が表示されていることを確認します。

2. 配置を確認します。

Ops Manager が変更を適用すると、 MongoDB Agent は自動的に更新された構成を受信し、 IdP から最初の OIDC トークンを取得します。エージェントは、再起動せずに OIDC認証に移行します。

IdP で新しいクライアントシークレットを生成します。

IdP で、この配置に使用する OAuth/OIDCアプリケーションを開き、新しいクライアントシークレットを生成します。既存のシークレットはまだ取り消しないでください。

Ops Manager でシークレットを更新します。

1. Ops Manager で、プロジェクトに移動します。[Deployment、Security をクリックし、Settingsタブを選択します。

2. MongoDB Agent Connections to Deployment で Workload Federation を選択します。

3. Client Secret に新しいシークレットを入力し、Save Settings をクリックします。

4. 配置を確認して確認します。

MongoDB Agent がトークンを更新するまで待ちます（通常は 1 時間以内）。

IdP で古いシークレットを取り消します。