Ops Manager 와 백업 디먼 OIDC를 사용하여 지원되는 모든 데이터베이스 백업 에 인증할 수 있습니다. 여기에는 Ops Manager 애플리케이션 데이터베이스, 스냅샷 저장소, oplog 저장 및 동기화 저장소 가 포함되며, S3지원 스냅샷 및 oplog 저장소에 대한 메타데이터 데이터베이스가 포함됩니다. Ops Manager 지원하는 기존 인증 메커니즘 외에OIDC 인증 사용할 수 있습니다. 데이터베이스 백업에 대해 OIDC를 활성화해도 이미 구성한 다른 인증 메커니즘 비활성화되거나 대체되지는 않습니다.
이 페이지에서는 Ops Manager 데이터베이스 백업 위해 지원하는 OIDC 인증 모드, OIDC를 활성화하기 위한 전제 조건, 이 기능 의 제한 사항에 대해 설명합니다. 이 페이지에서 다루는OIDC 인증 Ops Manager 와 백업 디먼 데이터베이스 백업 에 수행하는 연결에만 적용됩니다. Ops Manager 자체에 대한 최종 사용자 인증 다루지 않습니다.
지원되는 OIDC 모드
Ops Manager 데이터베이스 백업 위해 두 가지 OIDC 인증 모드를 지원합니다.
모드 | 설명 |
|---|---|
사용자 지정 콜백 | 클라이언트 자격 증명 흐름을 사용하여 Keycloak, Okta 또는 Azure 와 같은 OIDC호환 IdP에서 액세스 토큰을 요청 . 이 모드 클라이언트 ID 와 클라이언트 시크릿이 필요합니다. |
내장 환경 인증 | Azure, GCP 또는 Kubernetes 에 대해 배포서버 환경에서 제공하는 워크로드 ID를 사용합니다. MongoDB 운전자 환경에서 워크로드 ID 토큰을 자동으로 가져오며, 이 모드 클라이언트 암호가 필요하지 않습니다. |
전제 조건
백업 데이터베이스 에 대해 OIDC 인증 활성화 전에 다음 전제 조건을 확인합니다.
백업 데이터베이스 MongoDB 7.0.11 이상을 실행 해야 합니다.
인증 메커니즘 허용하고 사용하려는 IdP에 대해 를 정의하도록 MongoDB 구성해야 합니다.
MONGODB-OIDCoidcIdentityProviders사용자 지정 콜백 모드 의 경우 클라이언트 자격 증명 흐름이 활성화된 IdP 클라이언트 필요하고 IdP 의 토큰 및 JWKS 엔드포인트가 HTTPS를 통해 연결할 수 있어야 합니다.
내장 환경 인증 의 경우 배포서버 환경에서 Azure, GCP 또는 Kubernetes 에 대한 유효한 워크로드 ID를 이미 제공하고 있어야 합니다.
Ops Manager 서버 호스팅하다 와 백업 디먼 호스팅하다 모두 JVM 또는 OS 신뢰 저장 에 있는 IdP의 TLS 인증서를 신뢰해야 합니다. IdP 엔드포인트가 사설 인증 기관 또는 자체 서명된 인증서를 사용하고 해당 인증서를 신뢰할 수 없는 경우, Ops Manager 와 백업 디먼 TLS 핸드셰이크 오류로 인해 토큰을 획득하지 못합니다.
제한 사항
Ops Manager 를 통해서만 Ops Manager 애플리케이션 데이터베이스에 대한 OIDC 구성을
conf-mms.properties노출합니다. 관리자 인터페이스에는 Ops Manager 애플리케이션 데이터베이스 OIDC 구성을 위한 UI 포함되어 있지 않습니다.이 페이지에 설명된 OIDC 인증 Ops Manager 와 백업 디먼 데이터베이스 백업 에 수행하는 연결에만 적용됩니다. Ops Manager 에 대한 최종 사용자 인증 에는 적용 되지 않습니다.
버전 유효성 검사
Ops Manager OIDC 구성을 적용하기 전에 대상 MongoDB 버전의 유효성을 검사합니다. 유효성 검사 연결 유형에 따라 다릅니다.
백업 저장 의 경우 7.0.11 이전의 대상 MongoDB 버전으로 관리자 인터페이스 또는 API 통해 저장 를 만들거나 업데이트할 수 없습니다.
Ops Manager 애플리케이션 데이터베이스의 경우,OIDC가 활성화되어 있고 Ops Manager 애플리케이션 데이터베이스가 이전의 MongoDB 버전을 실행하는 경우 Ops Manager 스타트업 7.0.11 차단합니다.
재시작 요구 사항
중요
Ops Manager 애플리케이션 데이터베이스 OIDC 설정을 변경하려면 Ops Manager 다시 시작해야 합니다. 백업 디먼 스타트업 시 동일한 파일 읽기 때문에 conf-mms.properties 백업 디먼 도 다시 시작합니다.
스냅샷 저장소, oplog 저장 또는 동기화 저장소 와 같은 백업 저장 의 OIDC 설정을 변경하려면 Ops Manager 및 백업 디먼 다시 시작해야 합니다. 이는 백업 저장소의 사용자 이름 또는 비밀번호를 변경할 때의 기존 동작과 일치합니다.
폴백 및 롤백
백업 데이터베이스 에 대한 OIDC 인증 롤백해야 하는 경우 해당 절차를 사용합니다.
Ops Manager 애플리케이션 데이터베이스의 경우
mms.oidcEnabledfalseconf-mms.properties에서 를 로 설정하다 , 연결 구성에서 비OIDC 인증 메커니즘 복원 , Ops Manager 와백업 디먼 다시 시작합니다.백업 저장 의 경우 관리자 인터페이스 또는 API 통해 OIDC를 비활성화합니다. API 사용하는 경우
oidc: {enabled: false}해당 저장 에 대해비OIDC 인증 구성으로 를 제출 Ops Manager 및 백업 디먼 다시 시작합니다.