Atlas Kubernetes Operator 사용하여 페더레이션 인증 구성

Atlas UI Access (SAML)

Atlas 액세스 (또는 UI 액세스)를 사용하면 조직 소유자가 자격 증명 공급자 에서의 역할을 기반으로 Microsoft Entra ID 또는 Google Workspace와 같은 조직의 사용자에게 Atlas에서 자동으로 역할을 부여할 수 있습니다.

UI 액세스 자격 증명 공급자 를 생성하고 이를 조직과 연결한 후에 Atlas Kubernetes Operator 사용하여 구성할 수 있습니다.

이 예제는 다음을 수행합니다:

• 지정된 시크릿에 연결된 조직에 대해 페더레이션 인증 활성화합니다.

• my-org-domain.com 을(를) 승인된 도메인으로 추가합니다.

• 조직에 대한 도메인 제한을 활성화합니다.

• SSO 에 대한 디버깅을 비활성화합니다.

• Grants the Organization Member role to users after authenticating.

• Maps the Organization Owner role for the organization and applies the role mapping to an IdP group named org-admin.

• Maps the Organization Project Creator and Project Owner roles for a project in the organization named dev-project and applies the role mapping to an IdP group named dev-team.

예시:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system
  domainAllowList:
    - my-org-domain.com
  domainRestrictionEnabled: true
  ssoDebugEnabled: false
  postAuthRoleGrants:
    - ORG_MEMBER
  roleMappings:
    - externalGroupName: org-admin
      roleAssignments:
        - role: ORG_OWNER
    - externalGroupName: dev-team
      roleAssignments:
        - role: ORG_GROUP_CREATOR
        - projectName: dev-project
          role: GROUP_OWNER
EOF

AtlasFederatedAuth 리소스 구성에 대한 추가 정보는 AtlasFederatedAuth Custom Resource(사용자 지정 리소스)에서 확인할 수 있습니다.

Atlas 클러스터 액세스(OIDC/OAuth 2.0)

클러스터 액세스를 통해 조직 소유자는 자격 증명 공급자(OIDC 또는 OAuth 2.0 사용)를 사용하여 자격 증명 공급자의 역할 을 기반으로 Atlas의 데이터베이스 클러스터에 대한 데이터 액세스를 제공할 수 있습니다. 이 기능 액세스 인간 사용자에게 부여되는지, 아니면 애플리케이션 에 부여되는지 여부에 따라 더욱 구별될 수 있습니다.

• 워크로드는 애플리케이션용입니다. 외부 애플리케이션이 OAuth 2.0을 사용하여 Azure의 서비스 주체 또는 Google Cloud Platform의 서비스 계정과 같은 프로그래밍 ID를 통해 인증할 수 있도록 합니다.

• Workforce 는 사용자를 위한 것입니다. OIDC를 사용하여 Microsoft Entra ID 또는 Okta와 같은 외부 자격 증명 공급자를 통해 데이터베이스에 대한 인증 및 권한 부여를 허용합니다.

AKO를 통한 Atlas 클러스터 액세스를 활성화 하려면 AtlasFederatedAuth 리소스의 dataAccessIdentityProviderIds 필드에 자격 증명 공급자 ID를 추가합니다.

apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  dataAccessIdentityProviders:
    - 32b6e34b3d91647abb20e7b8
    - 42d8v92k5a34184rnv93f0c1
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system

AtlasFederatedAuth 리소스 구성에 대한 추가 정보는 AtlasFederatedAuth Custom Resource(사용자 지정 리소스)에서 확인할 수 있습니다.

인증 통해 조직 내에서 자격 증명 공급자 를 사용할 oidcAuthType 수 username 있습니다. 그리고, 이제 를 구성하고 필드에 적절한 ID 및 이름을 설정하여 AtlasDatabaseUser 에서 이 자격 증명 공급자 를 사용하여 클러스터 액세스를 부여할 수 있습니다.

• For 인력 액세스 의 경우 oidcAuthType 필드 USER로, databaseName 필드 admin, username 필드 <Atlas IdP ID>/IdP Username로 설정하다.

• 워크로드 액세스 의 oidcAuthType 경우 필드 IDP_GROUP databaseName $external로,username 필드, 필드 로 설정하다 <Atlas IdP ID>/IdP Group Name.

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workload-user
  namespace: mongodb-atlas-system
spec:
  databaseName: $external
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-group-name
  oidcAuthType: IDP_GROUP

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workforce-user
  namespace: mongodb-atlas-system
spec:
  databaseName: admin
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-user-name
  oidcAuthType: USER

AtlasDatabaseUser 리소스 구성에 대한 추가 정보는 AtlasDatabaseUser Custom Resource(사용자 지정 리소스)에서 확인할 수 있습니다.