/ /

OIDC로 Workforce Identity Federation 설정하기

MongoDB 7.0 이상에서는 Workforce Identity Federation을 사용하면 회사 IdP 와 같은 외부 ID 제공자(IdP)를 사용하여 직원, 파트너, 계약업체 등의 특정 인력을 인증하고 권한을 부여할 수 있습니다.

Workforce Identity Federation을 사용하면 다음을 수행할 수 있습니다.

기존 IdP를 통해 MongoDB deployment에 대한 직원 액세스를 관리합니다.
비밀번호 복잡성, 자격증명 순환, MFA와 같은 보안 정책을 IdP 내에서 시행합니다.
사용자 그룹 또는 단일 사용자에게 액세스 권한을 부여합니다.

외부 IdP 를 구성하여 Workforce Identity Federation에 한 번 추가한 후에는 여러 Atlas 조직에 대해 Workforce Identity Provider를 활성화 할 수 있습니다. 특정 조직에서 Workforce Identity Federation을 활성화 한 후에는 해당 조직 의 모든 프로젝트에서 데이터베이스 액세스 를 위해 이를 사용할 수 조직 .

Workforce Identity Federation은 MongoDB 버전 7.0.11 이상을 실행 하는 Atlas 전용 클러스터(M10 이상)에서 지원됩니다. Workforce Identity Federation을 통해 Atlas 에 액세스 하려면 MongoDB Shell 또는 Compass 를 사용해야 합니다.

Workforce Identity Federation 액세스 구현에 대해 자세히 학습 Workforce Identity Federation을 사용하여 MongoDB 에 클라이언트 연결을 참조하세요.

필요한 액세스 권한

Workforce Identity Federation 구성을 관리 하려면 Atlas 에 대한 Organization Owner 액세스 이 있어야 합니다.

절차

Workforce Identity Federation을 사용하여 Atlas 클러스터에 액세스 하려면 다음 단계를 완료하세요.

인력 ID 제공자를 구성합니다(일회성 설정).
1. 외부 ID 제공자 를 구성합니다.
2. Atlas 에서 Workforce Identity Provider를 구성하고 Atlas 조직 에 대해 활성화 .
외부 ID(사용자 주체) 또는 그룹에 MongoDB 클러스터에 액세스 을 부여합니다.
MongoDB Shell 또는 Compass 를 사용하여 Atlas 클러스터를 인증합니다.

외부 멱등 애플리케이션 구성

OIDC를 사용하여 Workforce Identity Federation을 구성하려면 Microsoft Entra ID , Okta 또는 Ping Identity와 같은 OIDC 표준을 지원하는 IdP에 OIDC 애플리케이션 등록합니다.

참고

Workforce Identity Federation은 인증을 위해 JSON web token만 지원합니다. 불투명 액세스 토큰은 지원하지 않습니다.

다음 권한 부여 유형에 대해 OIDC 애플리케이션을 구성할 수 있습니다.

PKCE를 사용한 권한 부여 코드 흐름
기기 권한 부여 흐름

MongoDB는 보안 강화를 위해 PKCE 와 함께 Authorization Code Flow(권한 부여 코드 흐름)를 사용할 것을 권장합니다. 사용자가 브라우저 없이 컴퓨터에서 데이터베이스에 액세스해야 하는 경우에만 Device Authorization Flow(장치 권한 부여 흐름)를 사용하세요.

참고

ID 제공자 가 Microsoft Entra ID 이고 Device Authorization Flow를 사용하는 경우 Allow public client flows Azure 앱 등록에서 를 활성화 해야 합니다. 이 설정을 활성화 방법을 학습 Azure 설명서를 참조하세요.

OIDC 애플리케이션 등록 단계는 IdP 에 따라 다를 수 있습니다. 등록 프로세스 중에 다음 항목을 완료해야 합니다.

Atlas에 새 애플리케이션을 등록합니다.

클라이언트 유형으로 public client/native application 를 선택합니다.

Redirect URL 값을 `http://localhost:27097/redirect`(으)로 설정합니다.

(조건부) 그룹으로 인증하는 경우 groups 클레임을 추가하거나 활성화.

그룹의 경우 이 단계에서는 액세스 토큰에 인증하는 사용자의 그룹 멤버십 정보가 포함되어 있는지 확인합니다. MongoDB는 권한 부여를 위해 그룹 클레임으로 전송된 값을 사용합니다.

(선택 사항) MongoDB 클라이언트가 더 나은 사용자 경험을 위해 토큰을 새로 고침하도록 하려면 refresh tokens(새로 고침 토큰)를 허용하세요.

(선택 사항) 데이터베이스 연결 세션 시간에 맞게 액세스 토큰 수명(exp 클레임)을 구성합니다.

애플리케이션 을 등록한 후 issuer, clientId 및 audience 값을 저장하여 Atlas Workforce IdP 구성의 다음 단계에서 사용할 수 있습니다.

Microsoft Entra ID 로 OIDC 애플리케이션 을 등록하려면 다음을 수행합니다.

애플리케이션을 등록합니다.

App registrations(으)로 이동합니다.
1. Azure Portal 계정에서 Microsoft Entra ID를 검색 하고 클릭합니다.
2. 좌측 탐색의 Manage 섹션에서 App registrations을 클릭합니다.
New registration를 클릭합니다.

다음 값을 적용합니다.

필드	값
Name	Atlas Database - Workforce
Supported Account Types	Accounts in this organizational directory only (single tenant)
Redirect URI	- Public client/native (mobile & desktop) - `http://localhost:27097/redirect`

Register를 클릭합니다.

애플리케이션 등록에 대해 자세히 학습하려면 Azure 설명서를 참조하세요.

그룹 클레임을 추가합니다.

Token Configuration(으)로 이동합니다.
좌측 탐색의 Manage 섹션에서 Token Configuration을 클릭합니다.
Add groups claim를 클릭합니다.
Edit groups claim 0} 모달에서 을 Security groups 선택합니다.
선택하는 그룹은 Azure 환경에서 구성한 그룹 유형에 따라 다릅니다. 적절한 그룹 정보를 전송하려면 다른 그룹 유형을 선택해야 할 수도 있습니다.
Customize token properties by type 섹션에서 Group ID 만 선택합니다.
Add를 클릭합니다.

그룹 클레임 추가에 대해 자세히 학습하려면 Azure 설명서를 참조하세요.

액세스 토큰에 사용자 식별자 클레임을 추가합니다.

Add optional claim를 클릭합니다.
Add optional claim 0} 모달에서 을 Access 선택합니다.
이메일과 같은 MongoDB 액세스 로그에서 참조할 수 있는 사용자 식별자가 포함된 클레임을 선택합니다.
UPN 클레임을 사용하여 이메일 주소 로 사용자를 식별할 수 있습니다.
Add를 클릭합니다.
Microsoft Graph Permissions 노트에서 확인란을 선택하고 Add를 클릭합니다.

자세한 학습 은 Azure 설명서를 참조하세요.

매니페스트를 업데이트합니다.

좌측 탐색의 Manage 섹션에서 Manifest을 클릭합니다.
0}을 requestedAccessTokenVersion null 에서 2 로 업데이트합니다.
숫자 2는 Microsoft의 액세스 토큰 버전 2를 나타냅니다. 다른 애플리케이션에서는 이를 Active Directory에서 관리하는 사용자 ID의 서명된 증명으로 사용합니다. 버전 2는 토큰이 MongoDB가 이해할 수 있는 JSON Web Token인지 확인합니다.
Save를 클릭합니다.

선택적 클레임을 추가하는 방법에 대해 자세히 학습하려면 Azure 설명서를 참조하세요.

메타데이터를 기억하세요.

왼쪽 탐색에서 Overview을 클릭합니다.
Application (client) ID 값을 복사합니다.
상단 탐색에서 Endpoints을 클릭합니다.
/.well-known/openid-configuration 부분을 제외한 OpenID Connect metadata document 값을 복사합니다.
OpenID Connect metadata document URL 에서 issuer 값을 복사하여 이 값을 가져올 수도 있습니다.

다음 표는 Atlas 구성 속성에서 이러한 Microsoft Entra ID UI 값이 매핑하는 것을 보여 줍니다.

Microsoft Entra ID UI	Atlas 구성 속성
Application (client) ID	Client ID Audience
OpenID Connect metadata document (without /.well-known/openid-configuration)	Issuer URI

Okta에 OIDC 애플리케이션 등록하려면 다음을 수행합니다.

Okta에서 애플리케이션 생성합니다.

Okta Admin 대시보드 에서 왼쪽 탐색 창을 사용하여 Applications → Applications(으)로 고 (Go) .

Applications 화면에서 Create App Integration을 클릭합니다.
Sign-in method 섹션에서 OIDC - OpenID Connect를 선택합니다.
Application type 섹션에서 Native Application를 선택합니다.
Next를 클릭합니다.

자세한 학습 은 OIDC 앱 통합 생성을 참조하세요.

을(를) New Native App Integration 구성합니다.

앱 통합을 생성하면 자동으로 New Native App Integration 화면으로 리디렉션됩니다.

App integration name 필드 에 애플리케이션 의 이름을 입력합니다.
Grant type 필드 에서 권한 부여 유형을 선택합니다.
다음 권한 부여 유형을 활성화합니다.
- Authorization Code or Device Authorization
- (선택 사항) Refresh Token
  토큰 새로 고침을 활성화하면 더 나은 사용자 경험을 제공할 수 있습니다. 새로 고침 토큰이 활성화되지 않은 경우 사용자는 액세스 토큰이 만료되면 ID 제공자 로 다시 인증해야 합니다.
Sign-in redirect URIs 섹션에 URL 입력합니다.
다음 URL 입력합니다: http://localhost:27097/redirect.
Assignments 섹션에서 Controlled access 및 Enable immediate access 필드를 구성합니다.
1. Controlled access 필드 에서 Allow everyone in your organization to access을 선택합니다.
2. Enable immediate access 필드 의 경우 Enable immediate access with Federation Broker Mode 이 선택되어 있는지 확인합니다.
Save를 클릭합니다.

자세한 학습 은 OIDC 앱 통합 생성을 참조하세요.

PKCE를 구성하고 클라이언트 ID 가져옵니다.

애플리케이션 대시보드 에서 General 탭 으로 고 (Go) 다음을 구성합니다.

Client ID 필드 에서 아이콘을 클릭하여 나중에 사용할 수 있도록 클라이언트 ID 복사합니다.
Proof Key for Code Exchange (PKCE) 필드 에서 Require PKCE as additional verification 이(가) 활성화되어 있는지 확인합니다( 기본값 으로 선택되어 있음).

권한 부여 서버 추가합니다.

왼쪽 탐색 창에서 Security → API(으)로 고 (Go) . Add Authorization Server을(를) 클릭합니다.

Name 필드 에 서버 의 이름을 입력합니다.
Audience 필드 에 이전 단계의 클라이언트 ID 붙여넣습니다.
(선택 사항) Description 필드 에 서버 에 대한 설명을 입력합니다.
Save를 클릭합니다.

자세히 학습 권한 부여 서버 만들기를 참조하세요.

발급자 URI를 찾아 저장합니다.

권한 부여 서버 생성하면 자동으로 권한 부여 서버 화면으로 리디렉션됩니다.

Settings 탭 아래에서 Metadata URI 의 첫 번째 부분을 .well-known 섹션까지 복사하여 발급자 URI를 저장합니다. URI 구조는 https://trial4238026.okta.com/oauth2/ausabgmhveoOQSMsE697와 유사해야 합니다.

Groups 클레임을 추가합니다.

권한 부여 서버 화면에서 Claims 탭 으로 고 (Go) Add Claim을 클릭합니다.

다음 구성 정보를 사용하여 Groups 클레임을 구성합니다.

필드	값
Name	클레임의 이름을 입력합니다.
Include in token type	드롭다운을 클릭하고 Access Token을 선택합니다.
Value type	드롭다운을 클릭하고 Groups을 선택합니다.
Filter	드롭다운을 클릭하고 Matches regex을 선택합니다. 드롭다운 옆에 `.*`을 입력합니다.
Disable claim	확인하지 마세요.
Include in	Any scope0}을 선택합니다.

Create를 클릭합니다.

자세히 학습 클레임 생성을 참조하세요.

액세스 정책을 만듭니다.

권한 부여 서버 화면에서 Access Policies 탭 으로 고 (Go) Add Policy을 클릭합니다.

Name 필드 에 정책 이름을 입력합니다.
Description 필드 에 정책에 대한 설명을 입력합니다.
Assign to 필드 에서 All clients을(를) 선택합니다.
Create Policy를 클릭합니다.

자세히 학습 액세스 정책 생성을 참조하세요.

액세스 정책에 대한 규칙을 만듭니다.

Access Policies 탭 에서 Add Rule을(를) 클릭합니다.

Rule Name 필드 에 액세스 정책의 이름을 입력합니다.
IF Grant Type is에 대해 부여 유형을 선택합니다.
권한 부여 유형을 구성할 때 클라이언트 동작에 따라 적절한 옵션을 선택합니다.
- 클라이언트 자체를 대행하는 경우 Client Credentials를 선택합니다.
- 클라이언트 사용자를 대신하는 경우 다음을 선택합니다.
  - Authorization Code
  - Device Authorization

조직의 보안 정책에 따라 규칙 구성을 추가합니다.

Okta 규칙 구성 예시:

필드	값
AND user is	Any user assigned to the app0}을 선택합니다.
AND Scopes requested	Any scopes0}을 선택합니다.
THEN Use this inline hook	없음(비활성화)
AND Access token lifetime is	1 Hours
AND Refresh token lifetime is	두 번째 드롭다운을 클릭하고 Unlimited을 선택합니다.
but will expire if not used every	7 days을(를) 입력합니다.

Create Rule를 클릭합니다.

자세한 학습 은 각 액세스 정책에 대한 규칙 만들기를 참조하세요.

그룹 만듭니다.

왼쪽 탐색 창에서 Directory → Groups(으)로 고 (Go) 하여 Add Group을(를) 클릭합니다.

Name 필드 에서 디렉토리 이름을 OIDC로 지정합니다.
(선택 사항) Description 필드 에 규칙에 대한 설명을 입력합니다.
Save를 클릭합니다.
자세히 학습 그룹 생성을 참조하세요.
Okta 설명서에 따라 그룹에 사람을 수동으로 할당합니다.

조직 에 사용자를 추가합니다.

왼쪽 탐색 창에서 Directory → People(으)로 고 (Go) 하여 Add Person을(를) 클릭합니다.

해당 필드에 다음 값을 입력하여 사용자 세부 정보를 제공합니다.

필드	값
User type	User0}을 선택합니다.
First name	필요에 따라 이름을 입력합니다.
Last name	필요에 따라 이름을 입력합니다.
Username	사용자 이름 으로 이메일 입력합니다.
Primary email	이메일 입력합니다. 이메일 Username 필드 에 사용된 이메일과 동일해야 합니다.
Secondary email	선택 사항.
Groups	OIDC을(를) 입력합니다.
Activation	Activate Now 을(를) 선택하고 I will set password을(를) 확인합니다.
Password	비밀번호를 입력합니다.
User must change password on first login	SELECT Optional

Save를 클릭합니다.

자세히 학습 수동으로 사용자 추가를 참조하세요.

Workforce Identity Federation 인증 구성

참고

전제 조건

이 절차에서는 Organization Owner 액세스 권한이 있어야 하며 IdP 에 OIDC 애플리케이션이 이미 생성되어 있다고 가정합니다. IdP 를 구성하는 방법을 알아보려면 외부 ID 제공자 애플리케이션 구성을 참조하세요.

Atlas 에서 Workforce Identity Provider를 구성하려면 다음을 수행합니다.

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

아직 표시되지 않은 경우 다음 목록에서 원하는 조직 을 선택하세요. 탐색 표시줄의 Organizations 메뉴.
사이드바에서 Identity & Access 제목 아래의 Federation를 클릭합니다.
Open Federation Management App를 클릭합니다.

페더레이션 페이지가 표시됩니다.

식별 제공자를 구성합니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.
다음 단계 중 하나를 수행합니다.
- 아직 구성한 ID 공급자가 없는 경우 Set Up Identity Provider을 클릭합니다.
- 그렇지 않으면 Identity Providers 화면에서 Configure Identity Provider(s) 을 클릭합니다.
Workforce Identity Federation Continue0}을 선택하고 을 클릭합니다.
OIDC for Data Access0}을 선택합니다.

다음 Workforce Identity Provider Protocol Settings(직원 ID 제공자 프로토콜 설정)를 입력합니다.

설정	필요성	값
Configuration Name	필수 사항	이 구성을 식별하는 사람이 읽을 수 있는 레이블입니다. 이 레이블은 Atlas 사용자가 볼 수 있습니다.
Configuration Description	옵션	이 구성을 설명하는 사람이 읽을 수 있는 레이블입니다.
Issuer URI	필수 사항	등록된 IdP 애플리케이션에서 제공하는 발급자 값입니다. MongoDB는 이 URI를 사용하여 `/.wellknown/open-id-configuration` 엔드포인트에서 사용할 수 있는 OpenID Provider Configuration Document(OpenID 제공자 구성 문서)를 찾습니다.
Client ID	필수 사항	등록된 애플리케이션 의 고유 식별자입니다. 외부 ID 제공자에 등록한 앱 의 `clientId` 값을 입력합니다.
오디언스	필수 사항	외부 ID 제공자 가 토큰을 사용하는 엔티티입니다. 외부 ID 제공자에 등록한 앱 의 `audience` 값을 입력합니다. 일반적으로 이 값은 Client ID 과 동일합니다.
Requested Scopes	옵션	사용자에게 권한 부여 엔드포인트에서 데이터를 요청할 수 있는 권한을 부여하는 토큰입니다. 새로 고침 토큰을 지원할 계획인 경우 이 필드에 `offline_access` 값을 포함해야 합니다. ID 제공자 가 Microsoft Entra ID 인 경우 Atlas 에 이 설정이 필요합니다. 기본값 범위인 `<application client id>/.default` 을 추가합니다. 추가하려는 각 추가 범위에 대해 Add more scopes를 클릭합니다.
권한 부여 유형	필수 사항	IdP 사용자 그룹 멤버십을 기반으로 권한을 부여하려면 Group Membership 을 선택하고, 개별 사용자에게 권한을 부여하려면 User ID 을 선택합니다.
Customize Groups Claim	필수 사항	주체의 IdP 사용자 그룹 구성원 자격 정보를 포함하는 클레임의 식별자입니다. IdP 가 다른 클레임을 사용하거나 사용자 지정 클레임이 필요한 경우가 아니라면 기본값을 그대로 사용합니다. 이 필드는 Group Membership 를 선택한 경우에만 필요합니다. 기본값: `groups`
Customize User Claim	필수 사항	사용자 주체 ID를 포함하는 클레임의 식별자입니다. IdP 가 다른 클레임을 사용하지 않는 한 기본값을 그대로 사용합니다. 기본값: `sub` ID 제공자 가 Microsoft Entra ID 이고 Authorization Type(으)로 User ID 을(를) 선택하는 경우 다음 값 중 하나를 사용할 수 있습니다. `upn`: Atlas 데이터베이스 사용자가 UPN(사용자 계정 이름)으로 구성된 경우 사용합니다. `oid`: Atlas 데이터베이스 사용자가 객체 ID 로 구성된 경우에 사용합니다.

Save and Finish를 클릭합니다.

(선택 사항) 도메인을 Workforce 자격 증명 공급자에 연결합니다.

참고

이 단계는 도메인이 다른 동일한 조직에 여러 Workforce 자격 증명 공급자를 연결해야 하는 경우에만 필요합니다. Atlas 조직에 연결된 최대 두 개의 Workforce 자격 증명 공급자를 지원합니다: 하나는 OIDC 자격 증명 공급자 (데이터베이스 액세스용)이고 다른 하나는 SAML 자격 증명 공급자 (UI 액세스용)입니다.

Workforce Identity Provider(직원 ID 제공자) 카드에서 Associate Domains 을(를) 클릭합니다.
Associate Domains with Identity Provider 모달에서 하나 이상의 도메인을 선택합니다.
Submit를 클릭합니다.

조직 에서 인력 ID 제공자를 활성화합니다.

Connect Organizations를 클릭합니다.
Workforce Identity Provider에 연결하려는 조직 에 대해 Configure Access 을(를) 클릭합니다.
Connect Identity Provider를 클릭합니다.
참고
다른 IdP를 구성한 경우 이 버튼에 Connect Identity Provider(s)라고 표시됩니다.

Workforce Identity Federation for Data Access을(를) 선택합니다.

Connect Identity Provider(s) 모달에서 Purpose 이 Workforce Identity Federation 인 Workforce Identity Provider 를 선택합니다.

Connect를 클릭합니다.

Workforce Identity Provider를 조직 에 연결하면 Atlas 는 해당 조직 내의 모든 프로젝트에 대해 Workforce Identity Provider를 활성화합니다.

인력 인증을 사용하여 데이터베이스 사용자 추가

Atlas 에서 프로젝트 의 Database & Network Access 페이지로 이동합니다.

아직 표시되지 않은 경우 탐색 표시줄의 Organizations 메뉴에서 프로젝트가 포함된 조직을 선택합니다.
아직 표시되지 않은 경우 내비게이션 바의 Projects 메뉴에서 프로젝트를 선택합니다.
사이드바에서 Security 제목 아래의 Database & Network Access를 클릭합니다.

데이터베이스 & 네트워크 액세스 페이지가 표시됩니다.

Add New Database User or Group 대화 상자를 엽니다.

딸깍 하는 소리 Add New Database User or Group.

참고

Workforce IdP를 Atlas 에 적용 할 때까지 이 버튼에는 다음과 같이 표시됩니다. Add New Database User.

Federated Auth을(를) 선택합니다.

Authentication Method 섹션에서 Federated Auth를 선택합니다.

참고

조직 에 대해 Workforce IdP를 활성화 때까지 이 상자를 선택할 수 없습니다.

ID 제공자 및 식별자 선택

a. Select Identity Provider 섹션에서 구성된 OIDC ID 제공자를 선택합니다.

구성된 Workforce 자격 증명 공급자와 관련된 사용자 식별자 또는 그룹 식별자를 지정합니다.

참고

Azure Entra ID 사용자의 경우 이 값은 사용자 그룹 이름이 아닌 Azure 사용자 그룹의 Object Id에 매핑됩니다.

사용자 또는 그룹 권한을 할당합니다.

새 사용자 또는 그룹에 권한을 할당하려면 다음 작업 중 하나 이상을 수행합니다.

Built-in Role 드롭다운 메뉴에서 내장 역할을 선택합니다.
- Atlas UI에서 데이터베이스 그룹당 하나의 기본 제공 역할을 선택할 수 있습니다.
- 기본 옵션을 삭제하는 경우 Add Built-in Role 을 클릭하여 새 기본 제공 역할을 선택할 수 있습니다.
사용자 지정 역할을 선택하거나 추가합니다.
- 사용자 지정 역할을 정의한 경우 Custom Roles 섹션을 확장하고 Custom Roles 드롭다운 메뉴에서 하나 이상의 역할을 선택할 수 있습니다.
- 사용자 지정 역할을 더 추가하려면 Add Custom Role 를 클릭합니다.
- Custom Roles 링크를 클릭하면 프로젝트의 사용자 지정 역할을 볼 수 있습니다.
권한을 추가합니다.
- Specific Privileges 섹션을 확장하고 Specific Privileges 드롭다운 메뉴에서 하나 이상의 권한을 선택합니다.
- 더 많은 권한을 추가하려면 Add Specific Privilege 을 클릭합니다. 이렇게 하면 개별 데이터베이스 및 컬렉션에 대한 특정 권한이 그룹에 할당됩니다.
적용된 역할 또는 권한을 제거합니다.
- 클릭 Delete 옆에
  역할 또는 권한을 삭제합니다.
참고
Atlas는 하나의 옵션만 선택한 경우 Built-in Role, Custom Role 또는 Specific Privilege 선택 항목 옆에 Delete 아이콘을 표시하지 않습니다. 다른 역할이나 권한을 적용한 후에는 선택한 역할이나 권한을 삭제할 수 있습니다.

Atlas는 내장 역할, 여러 사용자 지정 역할, 여러 특정 권한을 데이터베이스 그룹에 적용할 수 있습니다.

권한 부여에 대해 자세히 알아보려면 MongoDB 매뉴얼 에서 역할 기반 액세스 제어 및 기본 제공 역할을 참조하세요.

사용자 또는 그룹이 액세스할 수 있는 프로젝트의 리소스를 지정합니다.

기본적으로 그룹은 프로젝트의 모든 클러스터 및 연합 데이터베이스 인스턴스에 액세스할 수 있습니다. 특정 클러스터 및 연합 데이터베이스 인스턴스에 대한 액세스를 제한하려면 다음을 수행합니다.

Restrict Access to Specific Clusters/Federated Database Instances 를 On로 전환합니다.
Grant Access To 목록에서 그룹 액세스 권한을 부여할 클러스터 및 연합 데이터베이스 인스턴스를 선택합니다.

임시 사용자 또는 그룹으로 저장합니다.

Temporary User 또는 Temporary Group 를 On 로 전환하고 Atlas가 Temporary User Duration 또는 Temporary Group Duration 드롭다운에서 사용자 또는 그룹을 삭제할 수 있는 시간을 선택합니다. 그룹이 존재하는 기간에 대해 다음 중 하나를 선택할 수 있습니다.

6시간
1일
1주

Database Users 탭에서 임시 사용자 또는 그룹은 Atlas가 사용자 또는 그룹을 삭제할 때까지 남은 시간을 표시합니다. Atlas가 사용자 또는 그룹을 삭제하면 임시 사용자 또는 그룹의 자격 증명을 사용하는 모든 클라이언트 또는 애플리케이션은 클러스터에 대한 액세스 권한을 잃게 됩니다.

새 데이터베이스 사용자 또는 그룹을 추가합니다.

다음 단계 중 하나를 수행합니다.

사용자를 추가한 경우 Add User 버튼을 클릭합니다.
그룹을 추가한 경우 Add Group 버튼을 클릭합니다.

Workforce Identity Federation을 사용하여 클라이언트를 MongoDB 에 연결하기

다음은 Workforce Identity Federation 인증 사용하여 클라이언트 를 MongoDB 에 연결하는 방법입니다.

Compass v1.38+
MongoDB Shell v2.1.4+

참고

Device Authorization Flow(장치 권한 부여 흐름)를 구성한 경우 연결 시 플래그를 전달해야 --oidcFlows=device-auth mongosh합니다. 예시 들면 다음과 같습니다.

mongosh "<connection-string>" \
  --authenticationMechanism MONGODB-OIDC \
  --oidcFlows=device-auth

기존 Workforce Identity Federation 구성 관리

인력 자격 증명 공급자 구성 보기

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

아직 표시되지 않은 경우 다음 목록에서 원하는 조직 을 선택하세요. 탐색 표시줄의 Organizations 메뉴.
사이드바에서 Identity & Access 제목 아래의 Federation를 클릭합니다.
Open Federation Management App를 클릭합니다.

페더레이션 페이지가 표시됩니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

구성된 모든 자격 증명 공급자 및 해당 세부 정보를 볼 수 있습니다.

자격 증명 공급자 구성 업데이트

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

아직 표시되지 않은 경우 다음 목록에서 원하는 조직 을 선택하세요. 탐색 표시줄의 Organizations 메뉴.
사이드바에서 Identity & Access 제목 아래의 Federation를 클릭합니다.
Open Federation Management App를 클릭합니다.

페더레이션 페이지가 표시됩니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

In the Workforce Identity Provider(직원 자격 증명 공급자) 카드에서 Manage 드롭다운을 클릭한 다음 Edit Configuration을 클릭합니다.

변경하고 Save을 클릭합니다.

연결된 조직 보기 및 관리

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

아직 표시되지 않은 경우 다음 목록에서 원하는 조직 을 선택하세요. 탐색 표시줄의 Organizations 메뉴.
사이드바에서 Identity & Access 제목 아래의 Federation를 클릭합니다.
Open Federation Management App를 클릭합니다.

페더레이션 페이지가 표시됩니다.

왼쪽 사이드바에서 Organizations 을(를) 클릭합니다.

연결된 모든 조직을 보고 해당 조직의 구성을 관리할 수 있습니다.

Revoke JWKS

참고

자체 서명 키를 관리하는 경우에만 다음 절차를 사용하세요.

이 기능 을 사용하여 서명 키를 순환하지 마세요. 인력 ID 제공자 서명 키를 순환하면 기존 액세스 토큰이 만료되면 MongoDB 가 자동으로 JWKS를 가져옵니다.

개인키가 손상된 경우 MongoDB 노드에 캐시된 JSON 웹 키 세트(JWKS)를 즉시 취소할 수 있습니다.

Workforce ID 제공자 에서 서명 키를 업데이트합니다.

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

아직 표시되지 않은 경우 다음 목록에서 원하는 조직 을 선택하세요. 탐색 표시줄의 Organizations 메뉴.
사이드바에서 Identity & Access 제목 아래의 Federation를 클릭합니다.
Open Federation Management App를 클릭합니다.

페더레이션 페이지가 표시됩니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

Workforce Identity Provider(직원 ID 제공자) 카드로 스크롤합니다.

Manage 드롭다운을 클릭한 다음 Revoke JWKS을 클릭합니다.

Revoke를 클릭합니다.

Revoke 를 클릭하면 MongoDB는 JWKS 엔드포인트를 통해 새 키를 가져옵니다. JWKS를 해지한 후에는 클라이언트(예: mongosh 또는 Compass)를 다시 시작해야 합니다.

인력 ID 제공자 구성 삭제

인력 ID 제공자 구성을 삭제 다음을 수행합니다.

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

아직 표시되지 않은 경우 다음 목록에서 원하는 조직 을 선택하세요. 탐색 표시줄의 Organizations 메뉴.
사이드바에서 Identity & Access 제목 아래의 Federation를 클릭합니다.
Open Federation Management App를 클릭합니다.

페더레이션 페이지가 표시됩니다.

Workforce Identity Provider에 연결한 각 조직 의 연결을 해제합니다.

왼쪽 사이드바에서 Organizations 을(를) 클릭합니다.
Workforce Identity Federation(직원 ID 페더레이션)이 활성화된 조직 을 클릭합니다.
Workforce Identity Federation 카드의 Manage 드롭다운에서 Disconnect 을(를) 클릭합니다.
Disconnect identity provider? 모달에서 Disconnect를 클릭합니다.
IdP 연결을 끊으면 IdP 를 사용하여 인증하는 사용자는 표에 나열된 Atlas 프로젝트의 Workforce Identity Federation에 액세스 을 잃게 Project 됩니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

In the Workforce Identity Provider(직원 자격 증명 공급자) 카드에서 Manage 드롭다운을 클릭한 다음 Delete Identity Provider을 클릭합니다.

Delete Identity Provider? 모달에서 Delete를 클릭합니다.

Atlas CLI 로 Workforce Identity Federation(직원 ID 페더레이션) 관리

Atlas CLI 사용하여 조직의 Workforce Identity Federation 구성을 관리할 수 있습니다.

Workforce Identity Federation 인증 구성

Atlas CLI 사용하여 OIDC 자격 증명 공급자 생성하려면 다음 명령을 실행하십시오.

atlas federatedAuthentication federationSettings identityProvider create oidc [displayName] [options]

명령 구문 및 매개변수에 대해 자세히 학습 보려면 atlas federatedAuthentication federationSettings identityProvider create oidc에 대한 Atlas CLI 설명서를 참조하세요.

조직에서 자격 증명 공급자 활성화

Atlas CLI 사용하여 ID 제공자 조직 에 연결하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings connectedOrgConfigs connect [options]

명령 구문 및 매개변수에 대해 자세히 학습 보려면 atlas federatedAuthentication federationSettings wiredOrgConfigs 연결에 대한 Atlas CLI 설명서를 참조하세요.

인력 자격 증명 공급자 구성 보기

모든 ID 제공자를 나열하려면 다음을 수행합니다.

Atlas CLI 사용하여 페더레이션 설정에서 ID 제공자를 나열하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings identityProvider list [options]

명령 구문 및 매개변수에 대해 자세히 학습하려면 atlas federatedAuthentication federationSettings identityProvider 목록에 대한 Atlas CLI 설명서를 참조하세요.

특정 자격 증명 공급자의 세부 정보를 보려면 다음 단계를 따르세요.

Atlas CLI 사용하여 페더레이션 설정에서 지정된 ID 제공자 설명하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings identityProvider describe <identityProviderId> [options]

명령 구문 및 매개변수에 관한 자세한 학습 은 atlas federatedAuthentication federationSettings identityProvider 설명에 대한 Atlas CLI 문서를 참조하십시오.

페더레이션 설정을 보려면 다음과 같이 하세요:

Atlas CLI 사용하여 지정된 조직 에 대한 페더레이션 설정 세부 정보를 반환하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings describe [options]

명령 구문 및 매개변수에 관한 자세한 학습 은 Atlas CLI 문서에서 Atlas federatedAuthentication FederationSettings 설명을 참조하십시오.

자격 증명 공급자 구성 업데이트

Atlas CLI 사용하여 OIDC 자격 증명 공급자 업데이트 하려면 다음 명령을 실행하세요.

atlas federatedAuthentication federationSettings identityProvider update oidc [identityProviderId] [options]

명령 구문 및 매개변수에 대해 자세히 학습 보려면 atlas federatedAuthentication federationSettings identityProvider 업데이트 oidc에 대한 Atlas CLI 설명서를 참조하세요.

연결된 조직 보기 및 관리

연결된 조직을 나열하려면 다음을 수행합니다.

Atlas CLI 사용하여 연결된 조직 구성을 나열하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings connectedOrgConfigs list [options]

명령 구문 및 매개변수에 관한 자세한 학습 은 Atlas CLI 문서에서 Atlas federatedAuthentication federationSettings ConnectedOrgConfigs 목록을 참조하십시오.

연결된 조직 의 세부 정보를 보려면 다음 단계를 따르세요.

Atlas CLI 사용하여 연결된 조직 구성을 설명하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings connectedOrgConfigs describe [options]

명령 구문 및 매개변수에 관한 자세한 학습 은 Atlas CLI 문서에서 Atlas 연합 인증 federationSettings ConnectedOrgConfigs 설명을 참조하십시오.

연결된 조직 업데이트 하려면 다음을 수행합니다.

Atlas CLI 사용하여 하나의 페더레이션 설정에 연결된 하나의 조직 구성을 업데이트 하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings connectedOrgConfigs update [options]

명령 구문 및 매개변수에 대해 자세히 학습 보려면 atlas federatedAuthentication federationSettings ConnectedOrgConfigs 업데이트에 대한 Atlas CLI 설명서를 참조하세요.

연결된 조직 삭제 하려면 다음을 수행합니다.

Atlas CLI 사용하여 연결된 조직 구성 조직 삭제 하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings connectedOrgConfigs delete [options]

명령 구문 및 매개변수에 대해 자세히 학습하려면 atlas federatedAuthentication federationSettings connectedOrgConfigs delete에 대한 Atlas CLI 설명서를 참조하세요.

Revoke JWKS

Atlas CLI 사용하여 페더레이션 설정에서 지정된 ID 제공자 의 JWK 토큰을 해지하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings identityProvider revokeJwk <identityProviderId> [options]

명령 구문 및 매개변수에 대해 자세히 학습하려면 atlas federatedAuthentication federationSettings identityProvider revokeJwk에 대한 Atlas CLI 설명서를 참조하세요.

인력 ID 제공자 구성 삭제

조직 연결을 해제하려면 다음 단계를 따르세요.

Atlas CLI 사용하여 조직 에서 ID 제공자 연결을 해제하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings connectedOrgConfigs disconnect [options]

명령 구문 및 매개변수에 대해 자세히 학습 보려면 atlas federatedAuthentication federationSettings ConnectedOrgConfigs 연결 해제에 대한 Atlas CLI 설명서를 참조하세요.

자격 증명 공급자 삭제 하려면 다음을 수행합니다.

Atlas CLI 사용하여 페더레이션 설정에서 지정된 ID 제공자 제거 하려면 다음 명령을 실행 .

atlas federatedAuthentication federationSettings identityProvider delete <identityProviderId> [options]

명령 구문 및 매개변수에 대해 자세히 학습하려면 atlas federatedAuthentication federationSettings identityProvider 삭제에 대한 Atlas CLI 설명서를 참조하세요.

돌아가기

OIDC/OAuth2.0

워크로드(애플리케이션)

필요한 액세스 권한

절차

외부 멱등 애플리케이션 구성

참고

참고

Atlas에 새 애플리케이션을 등록합니다.

Redirect URL 값을 http://localhost:27097/redirect(으)로 설정합니다.

(조건부) 그룹으로 인증하는 경우 groups 클레임을 추가하거나 활성화.

애플리케이션을 등록합니다.

그룹 클레임을 추가합니다.

액세스 토큰에 사용자 식별자 클레임을 추가합니다.

매니페스트를 업데이트합니다.

메타데이터를 기억하세요.

Okta에서 애플리케이션 생성합니다.

을(를) New Native App Integration 구성합니다.

PKCE를 구성하고 클라이언트 ID 가져옵니다.

권한 부여 서버 추가합니다.

발급자 URI를 찾아 저장합니다.

Groups 클레임을 추가합니다.

액세스 정책을 만듭니다.

액세스 정책에 대한 규칙을 만듭니다.

그룹 만듭니다.

조직 에 사용자를 추가합니다.

Workforce Identity Federation 인증 구성

참고

전제 조건

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

식별 제공자를 구성합니다.

다음 Workforce Identity Provider Protocol Settings(직원 ID 제공자 프로토콜 설정)를 입력합니다.

Save and Finish를 클릭합니다.

(선택 사항) 도메인을 Workforce 자격 증명 공급자에 연결합니다.

참고

조직 에서 인력 ID 제공자를 활성화합니다.

참고

Workforce Identity Federation for Data Access을(를) 선택합니다.

Connect를 클릭합니다.

인력 인증을 사용하여 데이터베이스 사용자 추가

Atlas 에서 프로젝트 의 Database & Network Access 페이지로 이동합니다.

Add New Database User or Group 대화 상자를 엽니다.

참고

Federated Auth을(를) 선택합니다.

참고

ID 제공자 및 식별자 선택

참고

사용자 또는 그룹 권한을 할당합니다.

참고

사용자 또는 그룹이 액세스할 수 있는 프로젝트의 리소스를 지정합니다.

임시 사용자 또는 그룹으로 저장합니다.

새 데이터베이스 사용자 또는 그룹을 추가합니다.

Workforce Identity Federation을 사용하여 클라이언트를 MongoDB 에 연결하기

참고

기존 Workforce Identity Federation 구성 관리

인력 자격 증명 공급자 구성 보기

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

자격 증명 공급자 구성 업데이트

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

In the Workforce Identity Provider(직원 자격 증명 공급자) 카드에서 Manage 드롭다운을 클릭한 다음 Edit Configuration을 클릭합니다.

변경하고 Save을 클릭합니다.

연결된 조직 보기 및 관리

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

왼쪽 사이드바에서 Organizations 을(를) 클릭합니다.

Revoke JWKS

참고

Workforce ID 제공자 에서 서명 키를 업데이트합니다.

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

Workforce Identity Provider(직원 ID 제공자) 카드로 스크롤합니다.

Manage 드롭다운을 클릭한 다음 Revoke JWKS을 클릭합니다.

Revoke를 클릭합니다.

인력 ID 제공자 구성 삭제

Atlas 에서 조직 의 Federation Management 콘솔로 이동합니다.

Workforce Identity Provider에 연결한 각 조직 의 연결을 해제합니다.

왼쪽 사이드바에서 Identity Providers 을(를) 클릭합니다.

In the Workforce Identity Provider(직원 자격 증명 공급자) 카드에서 Manage 드롭다운을 클릭한 다음 Delete Identity Provider을 클릭합니다.

Atlas CLI 로 Workforce Identity Federation(직원 ID 페더레이션) 관리

Workforce Identity Federation 인증 구성

조직에서 자격 증명 공급자 활성화

인력 자격 증명 공급자 구성 보기

Redirect URL 값을 `http://localhost:27097/redirect`(으)로 설정합니다.