Configurar autenticação federada utilizando o Atlas Kubernetes Operator

Atlas UI Access (SAML)

O acesso ao Atlas (ou acesso à interface do usuário) permite que os proprietários da organização concedam automaticamente funções no Atlas aos usuários da organização depois que eles se autenticam, com base em suas funções em um provedor de identidade, como o Microsoft Entra ID ou o Google Workspace.

Após criar um provedor de identidade de acesso da IU IdP e associá-lo à sua organização, você pode configurá-lo utilizando o Atlas Kubernetes Operator.

Este exemplo faz o seguinte:

• Habilita a autenticação federada para a organização vinculada ao segredo especificado.

• Adiciona my-org-domain.com como um domínio aprovado.

• Habilita a restrição de domínio para a organização.

• Desabilita a depuração para SSO.

• Grants the Organization Member role to users after authenticating.

• Maps the Organization Owner role for the organization and applies the role mapping to an IdP group named org-admin.

• Maps the Organization Project Creator and Project Owner roles for a project in the organization named dev-project and applies the role mapping to an IdP group named dev-team.

Exemplo:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system
  domainAllowList:
    - my-org-domain.com
  domainRestrictionEnabled: true
  ssoDebugEnabled: false
  postAuthRoleGrants:
    - ORG_MEMBER
  roleMappings:
    - externalGroupName: org-admin
      roleAssignments:
        - role: ORG_OWNER
    - externalGroupName: dev-team
      roleAssignments:
        - role: ORG_GROUP_CREATOR
        - projectName: dev-project
          role: GROUP_OWNER
EOF

Informações adicionais sobre como configurar o recurso AtlasFederatedAuth podem ser encontradas no Recurso PersonalizadoAtlasFederatedAuth .

Atlas Cluster Access (OIDC/OAuth 2.0)

O Acesso ao Cluster permite que os proprietários da organização usem provedores de identidade (usando OIDC ou OAuth 2.0) para fornecer acesso aos dados a um cluster de banco de dados no Atlas com base em funções no provedor de identidade. Esse recurso pode ser distinguido ainda mais pelo fato de o acesso estar sendo concedido a um usuário humano ou a um aplicativo:

• A carga de trabalho destina-se a aplicativos; permitindo que aplicativos externos se autentiquem por meio de identidades programáticas, como Service Principals no Azure ou Service Accounts no Google Cloud Platform, usando OAuth 2.0.

• Aforça de trabalho é para os usuários; permitindo a autenticação e a autorização no banco de dados por meio de um provedor de identidade externo, como o Microsoft Entra ID ou o Okta, usando o OIDC.

Para habilitar o acesso ao cluster Atlas via AKO, adicione o ID do provedor de identidade ao campo dataAccessIdentityProviderIds no recurso AtlasFederatedAuth.

apiVersion: atlas.mongodb.com/v1
kind: AtlasFederatedAuth
metadata:
  name: atlas-default-federated-auth
  namespace: mongodb-atlas-system
spec:
  enabled: true
  dataAccessIdentityProviders:
    - 32b6e34b3d91647abb20e7b8
    - 42d8v92k5a34184rnv93f0c1
  connectionSecretRef:
    name: my-org-secret
    namespace: mongodb-atlas-system

Informações adicionais sobre como configurar o recurso AtlasFederatedAuth podem ser encontradas no Recurso PersonalizadoAtlasFederatedAuth .

A autenticação habilita o provedor de identidade para uso na organização, e o acesso ao cluster agora pode ser concedido usando este provedor de identidade no AtlasDatabaseUser, configurando o oidcAuthType e definindo o ID e o nome apropriados no campo username.

• Para acesso do Workforce, configure o campo oidcAuthType para USER, o campo databaseName para admin e o campo username para <Atlas IdP ID>/IdP Username.

• Para acesso à carga de trabalho, defina o campo oidcAuthType como IDP_GROUP, o campo databaseName como $external e o campo username como <Atlas IdP ID>/IdP Group Name.

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workload-user
  namespace: mongodb-atlas-system
spec:
  databaseName: $external
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-group-name
  oidcAuthType: IDP_GROUP

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-workforce-user
  namespace: mongodb-atlas-system
spec:
  databaseName: admin
  roles:
    - roleName: "readWrite"
      databaseName: "my-database"
  projectRef:
    name: my-project
  username: idp-id-in-atlas/my-idp-user-name
  oidcAuthType: USER

Informações adicionais sobre como configurar o recurso AtlasDatabaseUser podem ser encontradas no Recurso PersonalizadoAtlasDatabaseUser .