MongoDB Ops Manager와 백업 디먼은 OIDC를 사용하여 지원되는 모든 데이터베이스 백업에 대해 인증할 수 있습니다. 이에는 MongoDB Ops Manager 애플리케이션 데이터베이스, S3기반 스냅샷 저장소, S 기반 oplog 저장소, 동기화 저장소, 및 S 기반 스냅샷 및 oplog 저장소용 메타데이터 데이터베이스가 포함됩니다. MongoDB Ops Manager가 지원하는 기존 인증 메커니즘 외에도 OIDC 인증을 사용할 수 있습니다. 데이터베이스 백업에 OIDC를 사용하도록 설정하는 것은 이미 구성한 다른 인증 메커니즘을 비활성화하거나 대체하지 않습니다.
이 페이지에서는 MongoDB Ops Manager가 데이터베이스 백업을 지원하는 OIDC 인증 모드, OIDC를 활성화하기 위한 사전 요건 및 이 기능의 제한 사항에 대해 설명합니다. 이 페이지에서 다루는 OIDC 인증은 MongoDB Ops Manager와 백업 디먼이 데이터베이스 백업에 연결하는 경우에만 적용됩니다. 이것은 MongoDB Ops Manager 자체에 대한 종료 사용자 인증을 포함하지 않습니다.
지원되는 OIDC 모드
MongoDB Ops Manager는 데이터베이스 백업을 위해 두 가지 OIDC 인증 모드를 지원합니다.
모드 | 설명 |
|---|---|
사용자 지정 콜백 | 클라이언트 자격 증명 흐름을 사용하여 Keycloak, Okta 또는 Azure 등 어떤 OIDC규격의 자격 증명 공급자에서 액세스 토큰을 요청합니다. 이 모드는 클라이언트 ID 및 클라이언트 시크릿이 필요합니다. |
내장 환경 인증 | Azure, GCP 또는 Kubernetes의 배포 환경에서 제공하는 워크로드 인덴티티를 사용합니다. MongoDB 드라이버는 환경에서 워크로드 인덴티티 토큰을 자동으로 가져오며, 이 모드에는 클라이언트 시크릿이 필요하지 않습니다. |
전제 조건
데이터베이스 백업에 대하여 OIDC 인증을 활성화하기 전에, 다음 사전 조건을 확인하세요.
데이터베이스 백업은 MongoDB 7.0.11 이상을 실행해야 합니다.
MongoDB는
MONGODB-OIDC인증 메커니즘을 허용하도록 구성되어야 하며, 사용할 자격 증명 공급자(IdP)에 대해oidcIdentityProviders을 정의해야 합니다.사용자 지정 콜백 모드의 경우, 클라이언트 자격 증명 흐름이 활성화된 자격 증명 공급자 클라이언트가 필요하며, 자격 증명 공급자의 토큰 및 JWKS 엔드포인트는 HTTPS를 통해 도달 가능해야 합니다.
내장 환경 인증의 경우, 배포서버 환경에서는 이미 Azure, GCP 또는 Kubernetes에 대한 유효한 워크로드 인덴티티를 제공해야 합니다.
MongoDB Ops Manager 서버 호스트 및 백업 디먼 호스트는 둘 다 JVM 또는 OS 신뢰 저장소에서 자격 증명 공급자의 TLS 인증서를 신뢰해야 합니다. 자격 증명 공급자 엔드포인트가 사설 인증서 발급 기관 또는 자가 서명 인증서를 사용하고 해당 인증서를 신뢰할 수 없는 경우, MongoDB Ops Manager와 백업 디먼은 TLS 핸드쉐이크 오류로 인해 토큰을 횩득하지 못합니다.
제한 사항
Ops Manager는 Ops Manager 애플리케이션 데이터베이스에 대한 OIDC 설정을
conf-mms.properties을 통해서만 노출합니다. 관리자 인터페이스는 MongoDB Ops Manager 애플리케이션 데이터베이스에 대한 OIDC 구성 UI를 포함하지 않습니다.이 페이지에서 설명하는 OIDC 인증은 MongoDB Ops Manager와 백업 디몬이 데이터베이스 백업에 연결하는 경우에만 적용됩니다. MongoDB Ops Manager에 대한 최종 사용자 인증에는 적용되지 않습니다.
버전 유효성 검사
MongoDB Ops Manager는 OIDC 구성을 적용하기 전에 대상 MongoDB 버전의 유효성을 검증합니다. 유효성 검사는 연결 유형에 따라 다릅니다:
백업 저장소의 경우 대상 MongoDB 버전이 7.0.11 이전인 경우 관리 인터페이스 또는 API를 통해 저장소를 만들거나 업데이트하면 실패합니다.
MongoDB Ops Manager 애플리케이션 데이터베이스의 경우, OIDC가 활성화되고 MongoDB Ops Manager 애플리케이션 데이터베이스가 7.0.11 이전 버전의 MongoDB를 실행하는 경우 MongoDB Ops Manager는 스타트업을 차단합니다.
재시작 요구 사항
중요
Ops Manager 애플리케이션 데이터베이스 OIDC 설정을 변경하려면 Ops Manager를 다시 시작해야 합니다. 백업 디먼이 스타트업 시 동일한 conf-mms.properties 파일을 읽기 때문에 백업 디먼도 다시 시작하십시오.
스냅샷 저장소, oplog 저장소 또는 동기화 저장소와 같은 백업 저장소의 OIDC 설정을 변경하려면, 또한 MongoDB Ops Manager 및 백업 디먼을 재시작해야 합니다. 이것은 기본 저장소의 사용자 이름 또는 암호를 변경할 때 기존 동작과 일치합니다.
폴백 및 롤백
지원 데이터베이스에 대한 OIDC 인증을 롤백해야 하는 경우 해당 절차를 사용하십시오.
MongoDB Ops Manager 애플리케이션 데이터베이스의 경우,
conf-mms.properties에서mms.oidcEnabled를false(으)로 설정하고, 연결 구성에서 non-OIDC 인증 메커니즘을 복원하고, MongoDB Ops Manager와 백업 디먼을 다시 시작합니다.지원 저장소의 경우 관리 인터페이스 또는 API를 통해 OIDC를 비활성화합니다. API를 사용하는 경우,
oidc: {enabled: false}을 제출하고, 해당 저장에 대한 non-OIDC 인증 구성을 사용하여 MongoDB Ops Manager와 백업 디몬을 다시 시작합니다.