AtlasFederatedAuth Recurso personalizado

Exemplos

O exemplo abaixo configura um recurso personalizado do AtlasFederatedAuth que faz o seguinte:

• Habilita a autenticação federada para a organização vinculada ao segredo especificado.

• Adiciona my-org-domain.com como um domínio aprovado.

• Habilita a restrição de domínio para a organização.

• Desabilita a depuração para SSO.

• Grants the Organization Member role to users after authenticating.

• Maps the Organization Owner role for the organization and applies the role mapping to an IdP group named org-admin.

• Maps the Organization Project Creator and Project Owner roles for a project in the organization named dev-project and applies the role mapping to an IdP group named dev-team.

apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  dataAccessIdentityProviders:
    - 32b6e34b3d91647abb20e7b8
    - 42d8v92k5a34184rnv93f0c1
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system
  domainAllowList:
    - my-org-domain.com
  domainRestrictionEnabled: true
  ssoDebugEnabled: false
  postAuthRoleGrants:
    - ORG_MEMBER
  roleMappings:
    - externalGroupName: org-admin
      roleAssignments:
        - role: ORG_OWNER
    - externalGroupName: dev-team
      roleAssignments:
        - role: ORG_GROUP_CREATOR
        - projectName: dev-project
          role: GROUP_OWNER
status:
  conditions:
    - type: Ready
      status: True
    - type: RolesReady
      status: True
    - type: UsersReady
      status: True

Parâmetros

This section describes the parameters available for the AtlasFederatedAuth custom resource. For detailed descriptions of the parameters, see the Atlas Federated Authentication API Resource.

Consulte essas descrições, o exemplo nesta página e a documentação da API para personalizar suas especificações.

metadata.name

Tipo: string

Obrigatório

Nome que identifica o recurso personalizado do AtlasFederatedAuth que o Atlas Kubernetes Operator utiliza para configurar a autenticação federada para a organização.

metadata.namespace

Tipo: string

Opcional

Namespace que você deseja que contenha o recurso personalizado do atlasFederatedAuth. Se não for especificado, o Atlas Kubernetes Operator utilizará o namespace atual definido por kubectl.

spec.enabled

Tipo: booleano

Obrigatório

Sinalizador que determina se a autenticação federada deve ser habilitada para a organização. Padrão é false.

spec.dataAccessIdentityProviders

Tipo: lista

Opcional

Lista de valores de string que identificam os fornecedores de identidade que o Atlas Kubernetes Operator utiliza para configurar a autenticação federada para a organização.

Observação

O parâmetro dataAccessIdentityProviders define um ou mais fornecedores de identidade que são utilizados para acesso aos dados. Isso significa que elas são usadas para acessar as instâncias reais do banco de dados do MongoDB , conforme configurado no recurso AtlasDatabaseUser. Isso é diferente das opções existentes no recurso AtlasFederatedAuth que é usado para configurar o uso de fornecedores de identidade para a UI do Atlas .

spec.connectionSecretRef.name

Tipo: string

Obrigatório

Nome do segredo opaco que contém um único campo password com o ID da organização e as chaves de API que o Atlas Kubernetes Operator usa para se conectar ao Atlas. Ao criar o segredo, especifique os campos orgID, publicApiKey e privateApiKey.

The secret's API keys must have the Organization Owner role. You can use the same secret from an AtlasProject Custom Resource only if the secret has Organization Owner permissions.

O Atlas Kubernetes atlas.mongodb.com/type=credentials Operator observa segredos apenas com a etiqueta para evitar a exibição de segredos desnecessários.

O exemplo a seguir rotula um segredo:

kubectl label secret the-user-password atlas.mongodb.com/type=credentials

Observação

Por padrão, o Atlas Kubernetes Operator mantém segredos de conexão no mesmo namespace que o recurso personalizado AtlasProject. Para armazenar segredos em outro namespace, especifique o spec.connectionSecretRef. parâmetro do namespace .

spec.connectionSecretRef.namespace

Tipo: string

Opcional

Namespace que contém o segredo com o ID da organização e as chaves de API que o Atlas Kubernetes Operator usa para se conectar ao Atlas. Se você omitir ou não especificar este parâmetro, o Atlas Kubernetes Operator manterá os segredos de conexão no mesmo namespace que o recurso personalizado AtlasProject.

spec.domainAllowList

Tipo: array de strings

Opcional

Domínios aprovados que restringem os usuários que podem ingressar na organização com base em seus endereços de e-mail.

spec.domainRestrictionEnabled

Tipo: booleano

Obrigatório

Sinalizador que indica se a restrição de domínio está habilitada para a organização conectada. Padrão é false.

Se você definir esse parâmetro como true, o Atlas retornará uma lista de usuários que pertencem a organizações fora da federação. Para saber mais, consulte Conflitos de usuários.

spec.ssoDebugEnabled

Tipo: booleano

Opcional

Sinalizador que indica se o provedor de identidade tem a depuração habilitada para SSO. O padrão é false.

spec.postAuthRoleGrants

Tipo: array de strings

Opcional

Funções do Atlas que são concedidas a um usuário nessa organização após a autenticação. Por exemplo:

• ORG_MEMBER

• ORG_READ_ONLY

• ORG_BILLING_ADMIN

• ORG_GROUP_CREATOR

• ORG_OWNER

• ORG_BILLING_READ_ONLY

Para obter uma lista completa dos valores aceitos, consulte o Recurso da API de autenticação federada.

spec.roleMappings

Tipo : array de objetos

Opcional

Mapeamentos de role configurados nesta organização.

The spec.roleMappings.roleAssignments parameter must include at least one organization role within the current organization or the projects in the organization.

spec.roleMappings.externalGroupName

Tipo: string

Obrigatório

Rótulo legível único para humanos que identifica o grupo de fornecedores de identidade ao qual esse mapeamento de role se aplica.

spec.roleMappings.roleAssignments

Tipo : array de objetos

Opcional

Roles do Atlas e os identificadores exclusivos dos grupos e organizações associados a cada role. Este parâmetro deve incluir pelo menos uma role da organização dentro da organização atual ou dos projetos na organização.

spec.roleMappings.roleAssignments.projectName

Tipo: string

Opcional

O projeto Atlas na mesma organização à qual associar o papel.

spec.roleMappings.roleAssignments.role

Tipo: string

Opcional

Etiqueta legível para humanos que identifica a collection de privilégios que o Atlas concede a uma chave de API, usuário ou equipe específica. Essas funções incluem privilégios de nível de organização e projeto.

O Atlas Kubernetes Operator aceita os seguintes valores:

• ORG_MEMBER

• ORG_READ_ONLY

• ORG_BILLING_ADMIN

• ORG_GROUP_CREATOR

• ORG_OWNER

• ORG_BILLING_READ_ONLY

• GROUP_OWNER

• GROUP_READ_ONLY

• GROUP_DATA_ACCESS_ADMIN

• GROUP_DATA_ACCESS_READ_ONLY

• GROUP_DATA_ACCESS_READ_WRITE

• GROUP_CLUSTER_MANAGER

• GROUP_SEARCH_INDEX_EDITOR