ワークフォース認証のための OIDC の構成

アプリケーションを登録する

1. App registrationsに移動します。

   1. Azure portal アカウントで、 を検索し、Microsoft Entra ID をクリックします。

   2. 左側のナビゲーションの Manage セクションで、App registrations をクリックします。

2. [New registration] をクリックします。

3. 次の値を適用します。

   フィールド	値
   Name	MongoDB - Workforce
   Supported Account Types	Accounts in this organizational directory only (single tenant)
   Redirect URI	- Public client/native (mobile & desktop) - MongoDB Compass と MongoDB Shell を使用してクラスターにアクセスするには、Redirect URI を http://localhost:27097/redirect に設定します。

4. [Register] をクリックします。

アプリケーションの登録 の詳細については、Azure のドキュメントを参照してください。

グループ クレームを追加する

1. Token Configurationに移動します。

   左側のナビゲーションの Manage セクションで、Token Configuration をクリックします。

2. [Add groups claim] をクリックします。

3. Edit groups claimモーダルで、 Securityを選択します。

   選択するグループは、Azure 環境で構成したグループのタイプによって異なります。 適切なグループ情報を送信するには、別のタイプのグループを選択する必要がある場合があります。

4. Customize token properties by typeセクションで、 Group IDのみを選択します。

5. [Add] をクリックします。

グループ クレームを追加する方法の詳細については、Azureドキュメント を参照してください。

アクセス トークンにユーザー識別子クレームを追加する

1. [Add optional claim] をクリックします。

2. Add optional claimモーダルで、 Accessを選択します。

3. メールなど、MongoDB アクセス ログで参照できるユーザー識別子を含むクレームを選択します。

   UPNクレームを使用して、メール アドレスを持つユーザーを識別できます。

4. [Add] をクリックします。

5. Microsoft Graph Permissionsノートで、[] ボックスをオンにし、[ Addをクリックします。

詳しくは、Azure のドキュメント を参照してください。

マニフェストを更新する

1. 左側のナビゲーションの Manage セクションで、Manifest をクリックします。

2. nullから2にrequestedAccessTokenVersionを更新します。

   数字2は Microsoft のアクセス トークンのバージョン 2 を表します。 他のアプリケーションは、Active Directory が管理するユーザーの ID の署名された認証局としてこれを使用できます。 バージョン 2 では、トークンはJSON web token MongoDBが理解する であることが保証されます。

3. [Save] をクリックします。

オプションのクレームを追加する方法の詳細については、Azure のドキュメント を参照してください。

メタデータを記憶する

1. 左側のナビゲーションで [ Overview ] をクリックします。

   Application (client) ID値をコピーします。

2. 上部のナビゲーションで、 Endpointsをクリックします。

   /.well-known/openid-configuration部分を除いてOpenID Connect metadata document値をコピーします。

   この値は、OpenID Connect metadata document URLで issuer の値をコピーすることで取得することもできます。

次の表は、これらのMicrosoft Entra ID UI の値がMongoDBoidcIdentityProviders パラメーターにマップされる内容を示しています。

Okta でアプリケーションを作成する

Okta Admin ダッシュボードで、左側のナビゲーション ペインを使用して Applications → Applications にGo。

1. Applications 画面で、Create App Integration をクリックします。

2. Sign-in methodセクションで、[OIDC - OpenID Connect] を選択します。

3. Application typeセクションで、[Native Application] を選択します。

4. [Next] をクリックします。

詳しくは、「OIDCアプリ統合の作成」を参照してください。

構成する New Native App Integration

アプリ統合を作成すると、自動的に New Native App Integration 画面にリダイレクトされます。

1. App integration nameフィールドに、アプリケーションの名前 を入力します。

2. Grant typeフィールドで、付与タイプを選択します。

   次の付与タイプを有効にします。

   • Authorization Code or Device Authorization

   • （任意） Refresh Token

     更新トークンを有効にすると、ユーザー エクスペリエンスが向上します。 更新トークンが有効になっていない場合、ユーザーはアクセス トークンの有効期限が切れるとIdPで再認証する必要があります。

3. Sign-in redirect URIs セクションでURLを入力します。

   次のURLを入力します: http://localhost:27097/redirect。

4. Assignments セクションで、Controlled access フィールドと Enable immediate access フィールドを構成します。

   1. Controlled accessフィールドに Allow everyone in your organization to access を選択します。

   2. Enable immediate accessフィールドで、Enable immediate access with Federation Broker Mode がオンになっていることを確認します。

5. [Save] をクリックします。

詳しくは、「OIDCアプリ統合の作成」を参照してください。

PKCE を構成し、クライアントIDを取得する

アプリケーションダッシュボードで、[General]タブにGo、以下を設定します。

1. Client IDフィールドで アイコンをクリックして、後で使用するためにクライアントID をコピーします。

2. Proof Key for Code Exchange (PKCE)フィールドで、Require PKCE as additional verification が有効になっていることを確認します（デフォルトでは がオンになっている）。

認可サーバーを追加する

左側のナビゲーション ペインで、Security → API にGo。 [Add Authorization Server] をクリックします。

1. Nameフィールドにサーバーの名前 を入力します。

2. Audienceフィールドに、前の手順のクライアントIDを貼り付けます。

3. （任意） Descriptionフィールドにサーバーの説明 を入力します。

4. [Save] をクリックします。

詳細については、「認証サーバーの作成」を参照してください。

発行者 URI を検索して保存します

認可サーバーを作成 すると、認可サーバーの 画面に自動的にリダイレクトされます。

Settingsタブで、Metadata URI の最初の部分を .well-known セクションまでコピーして、発行者 URI を保存します。 URI 構造は次のようにする必要があります: https://trial4238026.okta.com/oauth2/ausabgmhveoOQSMsE697

Groupsクレームを追加する

認可サーバー画面で、[Claims]タブにGo、[Add Claim をクリックします。

1. 次の構成情報で Groups クレームを構成します。

   フィールド	値
   Name	クレームの名前を入力します。
   Include in token type	[] ドロップダウンをクリックし、[]Access Token を選択します。
   Value type	[] ドロップダウンをクリックし、[]Groups を選択します。
   Filter	[] ドロップダウンをクリックし、[]Matches regex を選択します。ドロップダウンの横にある「.*」と入力します。
   Disable claim	チェックしないでください。
   Include in	Any scope を選択します。

2. [Create] をクリックします。

詳細については、「 クレームの作成 」を参照してください。

アクセス ポリシーを作成する

認可サーバー画面で、[Access Policies]タブにGo、[Add Policy をクリックします。

1. Nameフィールドにポリシー名を入力します。

2. Descriptionフィールドにポリシーの説明を入力します。

3. Assign toフィールドでAll clients [] を選択します。

4. [Create Policy] をクリックします。

詳細については、「 アクセス ポリシーの作成 」を参照してください。

アクセス ポリシーのルールを作成する

Access Policiesタブの下にある Add Rule をクリックします。

1. Rule Nameフィールドにアクセス ポリシーの名前を入力します。

2. IF Grant Type is の場合は、付与タイプを選択します。

   権限のタイプを設定するときは、クライアントの動作に基づいて適切なオプションを選択します。

   • クライアントが自分自身に代わって動作している場合は、Client Credentials を選択します。

   • クライアントがユーザーの代わりに動作している場合は、以下を選択します。

     • Authorization Code

     • Device Authorization

3. 組織のセキュリティ ポリシーに基づいてルール構成を追加します。

   Okta ルールの構成例：

   フィールド	値
   AND user is	Any user assigned to the app を選択します。
   AND Scopes requested	Any scopes を選択します。
   THEN Use this inline hook	なし（無効）
   AND Access token lifetime is	1 Hours
   AND Refresh token lifetime is	2 つ目のドロップダウンをクリックし、[]Unlimited を選択します。
   but will expire if not used every	7 daysと入力します。

4. [Create Rule] をクリックします。

詳しくは、各アクセス ポリシーのルールの作成 を参照してください。

グループを作成する

左側のナビゲーション ペインで、Directory → Groups にGo、Add Group をクリックします。

1. Nameフィールドに、ディレクトリOIDC と名付けます。

2. （任意） Descriptionフィールドにルールの説明を入力します。

3. [Save] をクリックします。

詳細については、「グループの作成」を参照してください。

組織にユーザーを追加する

左側のナビゲーション ペインで、Directory → People にGo、Add Person をクリックします。

1. 対応するフィールドに次の値を入力して、ユーザーの詳細を提供します。

   フィールド	値
   User type	User を選択します。
   First name	必要に応じて名前を指定します。
   Last name	必要に応じて名前を指定します。
   Username	ユーザー名としてメールを入力します。
   Primary email	メールを入力します。 メールはUsernameフィールドに使用するメールと同じである必要があります。
   Secondary email	任意。
   Groups	OIDCと入力します。
   Activation	Activate Now を選択し、I will set password を確認します。
   Password	パスワードを入力します。
   User must change password on first login	選択する Optional

2. [Save] をクリックします。

詳細については、「 ユーザーの手動追加 」を参照してください。

MongoDBの新しいアプリケーションの登録

クライアント タイプとしてpublic client/native applicationを選択します。

Redirect URL の値を http://localhost:27097/redirect に設定

（条件付き）グループで認証する場合は、 クレームを追加または有効にしますgroups

グループの場合、この手順により、アクセス トークンにユーザー認証のグループ メンバーシップ情報が含まれていることを確認できます。 MongoDB は、認可のためにグループ クレームで送信された値を使用します。

（任意） MongoDBクライアントがトークンを更新してユーザー エクスペリエンスを向上させる場合は、更新トークンを許可します

（任意）アクセス トークンの有効期間（exp クレーム）をデータベース接続セッション時間と一致するように設定します