Visão geral
Saiba mais sobre as configurações avançadas de autenticação e autorização para usuários de banco de dados no Atlas Data Federation, incluindo os métodos de autenticação disponíveis. Você pode gerenciar usuários com o Atlas CLI, a Atlas Administration API e a IU do Atlas.
Observação
O Atlas suporta um máximo de 100 usuários de banco de dados por projeto Atlas por padrão. Se você precisar de mais de 100 usuários de banco de dados em um projeto, pode usar a Atlas Administration API para aumentar o limite. Para obter assistência, contate o suporte do Atlas.
Acesso necessário
Para usar as configurações avançadas do usuário de banco de dados, você deve ter acesso Organization Owner, Project Owner ou Project Database Access Admin no Atlas.
Ações de banco de dados
Use o Atlas CLI, o Atlas Administration API ou a Atlas IU para gerenciar usuários de banco de dados para o Atlas Data Federation.
Autenticar usuários de banco de dados
O Atlas Data Federation oferece as seguintes formas de autenticação para usuários de banco de dados:
Senha: SCRAM é o método-padrão de autenticação do MongoDB e requer uma senha para cada usuário.
O banco de dados de autenticação para usuários autenticados via SCRAM é o banco de dados
admin.Observação
Por padrão, o Atlas suporta autenticação SCRAM-SHA-256. Se você criou um usuário antes do MongoDB 4.0, deverá atualizar o MongoDB 4.0, atualize suas senhas para gerar credenciais SCRAM-SHA-256. Você pode reutilizar senhas existentes.
Quando usar SCRAM:
Você pode usar a autenticação SCRAM para usuários humanos e usuários de aplicativo. Para ambientes inferiores, o SCRAM é um método de autenticação adequado. Para ambientes de produção e superiores, siga as práticas recomendadas de segurança para manter os segredos seguro e de curto prazo, como a integração com soluções de gerenciamento de acesso privilegiado (PAM).
Certificados X.509: Os certificados X.509, também conhecidos como TLS mútuo ou mTLS, permitem autenticação sem senha usando um certificado confiável.
O banco de dados de autenticação para usuários autenticados do X.509 é o banco de dados do
$external.Se você habilitar a autorização LDAP, não poderá se conectar aos seus clusters com usuários que se autenticam com um certificado X.509 gerenciado pelo Atlas. Para ativar LDAP e conectar-se aos seus clusters com usuários X.509, consulte Configurar certificados X.509 autogerenciados.
Quando usar o X.509:
A autenticação X.509 é adequada para o acesso seguro à carga de trabalho quando a federação de identidade da carga de trabalho (OIDC) ou a autenticação do AWS IAM não são viáveis, ou quando a autenticação mútua é necessária.
OIDC: a autenticação OpenID Connect (OIDC) habilita a autenticação sem senha e sem segredo usando provedores de identidade externos. O Atlas é compatível com os seguintes tipos de autenticação OIDC:
Federação de Identidade da Força de Trabalho para entidades humanos, como funcionários, parceiros e terceirizados.
Federação de Identidade de carga de trabalho para aplicativos que usam identidades programáticas externas, como Azure Service Principals, Identidades Gerenciadas do Azure e Google Service Contas.
O banco de dados de autenticação para usuários autenticados do OIDC é o banco de dados do
$external.A autenticação OIDC está disponível apenas em clusters que usam MongoDB versão 7.0 e superior.
Quando usar o OIDC:
Para usuários humanos, recomendamos que você use o Workforce Identity Federation com o OIDC.
Para usuários de aplicativos, recomendamos que você use o Workload Identity Federation com o OIDC para aplicativos executados no GCP ou no Azure.
AWS IAM: você pode criar um usuário de banco de dados que usa um usuário do AWS IAM ou ARN de função para autenticação.
O banco de dados de autenticação para usuários autenticados do AWS IAM é o banco de dados do
$external.Quando usar o AWS IAM:
Recomendamos que você use a autenticação do AWS IAM com funções do IAM para usuários de aplicativo que executam no AWS.
Adicionar novos usuários de banco de dados
Um projeto pode ter usuários com métodos de autenticação diferentes.
O método de autenticação de um usuário é fixado na criação. Para usar um método de autenticação diferente, crie um novo usuário.