Para agentes de IA: um índice de documentação está disponível em https://www.mongodb.com/pt-br/docs/llms.txt — as versões de markdown de todas as páginas estão disponíveis anexando .md a qualquer caminho de URL.
Menu Docs
Página inicial do Docs
/ /
Federado
Página inicial do Docs
/
Gestão
/
Segurança da organização
/
Federado
Página inicial do Docs
/
Gestão
/
Segurança da organização
/
Federado

Configurar autenticação federada a partir do Microsoft Entra ID

Este guia mostra como configurar a autenticação federada utilizando o Microsoft Entra ID como seu IdP.

Após integrar o Microsoft Entra ID e o Atlas, você poderá usar as credenciais da sua empresa para fazer login no Atlas e em outros serviços de nuvens do MongoDB.

Observação

O Atlas agora suporta SSO para usuários de banco de dados via autenticação e autorização com OIDC/OAuth 2.0.

Acesso necessário

Para gerenciar a autenticação federada, você deve ter acesso de Organization Owner a uma ou mais organizações que delegam configurações de federação à instância.

Pré-requisitos

Para usar o Microsoft Entra ID como um IdP para o Atlas, você deve ter:

  • Uma assinatura do Azure. Para obter uma assinatura, visite o portal do Microsoft Azure.

  • Um locatário de Microsoft Entra ID associado à sua assinatura. Para obter informações sobre como configurar um locatário do Microsoft Entra ID, consulte a documentação do Microsoft Entra ID .

  • Pelo menos os privilégios Cloud App Administrator e User Administrator no seu locatário do Microsoft Entra ID.

  • Um nome de domínio personalizado e roteável.

Procedimentos

Durante todo o procedimento a seguir, é útil ter uma aba do navegador aberta no seu Atlas Federation gerenciamento Console e uma aba aberta no seu Azure console.

Adicionar usuários de domínio

Caso ainda não o tenha feito, use o console do Azure para adicionar seu nome de domínio personalizado ao Microsoft Entra ID e criar usuários:

1
Adicione seu domínio personalizado ao Microsoft Entra ID.

Adicione seu nome de domínio personalizado ao Microsoft Entra ID para criar usuários que pertençam ao seu domínio. Após adicionar seu domínio, você também deve adicionar as informações de DNS do Microsoft Entra ID em um registro do TXT com seu provedor de DNS e verificar a configuração.

Para adicionar seu domínio personalizado ao Microsoft Entra ID,consulte a documentação do Azure.

2
Crie usuários do Microsoft Entra ID.

Se ainda não existirem, crie usuários no Microsoft Entra ID aos quais você deseja conceder acesso. Os usuários devem pertencer ao domínio personalizado que você adicionou ao Microsoft Entra ID.

Para criar usuários do Microsoft Entra ID, consulte a documentação do Azure.

Configurar o Microsoft Entra ID como um fornecedor de identidade

Use o console do Azure para configurar o Microsoft Entra ID como um SAML IdP. Você pode adicionar a aplicação MongoDB Cloud a partir da galeria ou configurar um aplicativo manualmente.

1
Adicione o aplicativo MongoDB Cloud pela galeria.

Para adicionar o aplicativo MongoDB Cloud ao seu locatário do Microsoft Entra ID, consulte a documentação do Azure.

Dica

MongoDB Cloud no Azure Marketplace

2
Atribua usuários ao aplicativo.

Atribua usuários ao aplicativo. Esses usuários terão acesso ao Atlas e a outros serviços de nuvem do MongoDB quando você concluir o tutorial.

Para atribuir usuários do Microsoft Entra ID a um aplicativo, consulte a documentação do Azure.

3
Acesse a página de configuração do SAML para iniciar a configuração do logon único.

Para navegar até a página de configuração SAML, consulte a documentação do Azure.

4
Defina valores temporários para o Identificador e URL de Resposta.

Para gerar um certificado de assinatura SAML válido, você deve atribuir valores temporários para o Identifier e Reply URL para seu aplicativo de empresa do Microsoft Entra ID. Se você baixar o certificado antes de definir esses valores, o certificado baixado não será exclusivo e você precisará baixá-lo novamente após definir esses valores.

Para definir os valores temporários:

  1. Clique em Edit na Seção 1.

  2. Remova qualquer valor padrão existente e defina os seguintes valores temporários:

    Contexto
    Valor temporário

    Identifier (Entity ID)

    https://www.okta.com/saml2/service-provider/MongoDBCloud

    Reply URL (Assertion Consumer Service URL).

    https://auth.mongodb.com/sso/saml2/

  3. Clique em Save.

  4. Atualize a página do navegador para garantir que o certificado seja gerado novamente.

    Após a primeira atualização do Identificador temporário e da URL de resposta, a impressão digital e a data de validade do certificado são alteradas.

5
Baixe o certificado de assinatura SAML codificado no Base64.

Na seção SAML Signing Certificate, clique em Download ao lado de Certificate (Base64).

Este certificado de assinatura será carregado no MongoDB Federation Management Console mais tarde do tutorial.

6
Opcional: adicione declarações de grupo ao token SAML.

Pule esta etapa se não usar o mapeamento de funções.

Para usar o mapeamento de roles, adicione a declaração de grupo abaixo ao token SAML que o Microsoft Entra ID envia para o Atlas:

  1. Clique em Add a group claim. O Azure exibe o painel Group Claims.

  2. Em Which groups associated with the user should be returned in the claim?, clique em Security groups.

    Quais grupos você seleciona dependem do tipo de grupos que você configurou em seu ambiente Azure. Talvez seja necessário selecionar um tipo diferente de grupo para enviar as informações apropriadas do grupo.

  3. No menu suspenso Source attribute, selecione Group Id ou outro atributo de origem.

    Se você selecionar Group Id, o Azure enviará o ID de objeto do grupo de segurança e não o nome do grupo legível por humanos.

    O ID de entrada suporta a escrita de nomes de grupos na declaração memberOf em vez de GUIDs. Para configurar o ID de Entra para enviar nomes de grupo, selecione um atributo de origem diferente que emita o nome de exibição do grupo somente de nuvem. Para obter mais informações, consulte Configurar declarações de grupo para aplicativos usando o ID do Microsoft Entra.

    Importante

    Ao criar mapeamentos de role no Atlas, o nome do mapeamento de role deve corresponder ao atributo de origem que o Azure envia na resposta SAML.

    Se você selecionou Group Id como atributo de origem, o nome do mapeamento de função no Atlas deverá ser objectId do grupo de segurança para que o mapeamento de função funcione corretamente.

  4. Clique em Customize the name of the group claim na seção Advanced options.

  5. Configure Name como memberOf.

  6. Deixe Namespace em branco.

  7. Limpe Emit groups as role claims.

  8. Clique em Save.

7
Copie os valores dos campos Login URL e Microsoft Entra ID.

Cole estes valores num editor de texto ou em outro local facilmente acessível.

Você insere esses valores no MongoDB Federation Management Console mais tarde no tutorial.

Adicionar Microsoft Entra ID como um fornecedor de identidade no Atlas

Use o Federation Management Console e o console do Azure para adicionar o Microsoft Entra ID como um IdP:

1
In Atlas, acesse o console do Federation Management para sua organização.

  1. Se ainda não estiver exibido, selecione sua organização desejada no Menu Organizations na barra de navegação.

  2. Na barra lateral, clique em Federation sob o título Identity & Access.

  3. Clique em Open Federation Management App.

The Federation page displays.

2

Adicione o Microsoft Entra ID ao Atlas como um fornecedor de identidade.

  1. Clique em Configure Identity Providers.

  2. Se você ainda não tiver nenhum provedor de identidade configurado, clique em Setup Identity Provider. Caso contrário, na tela Identity Providers, clique em Add Identity Provider.

  3. Insira ou selecione as seguintes configurações de protocolo SAML. Todos os campos são obrigatórios:

    Campo
    Descrição

    Configuration Name

    Nome descritivo, como Microsoft Entra ID.

    IdP Issuer URI

    Microsoft Entra ID Identifier você copiou do Azure anteriormente no tutorial.

    IdP Single Sign-On URL

    Login URL que você copiou do Azure anteriormente no tutorial.

    IdP Signature Certificate

    Base64certificado de assinatura SAML codificado que você baixou do Azure anteriormente no tutorial.

    Você também pode:

    • Carregue o certificado de seu computador ou

    • Cole o conteúdo do certificado em uma caixa de texto.

    Request Binding

    HTTP POST.

    Response Signature Algorithm

    SHA-256.

  4. Clique em Next.

3

Baixe o arquivo de metadados com detalhes que reconhecem MongoDB como um provedor de serviço.

  1. Clique em Download metadata. Carregue este arquivo para o Microsoft Entra ID no passo seguinte.

  2. Clique em Finish.

4

Carregue o arquivo de metadados no Azure para concluir a configuração do Microsoft Entra ID como um IdP.

Para fazer o upload do arquivo, consulte a captura de tela no passo 3 de Habilitar login único para um aplicativo na documentação do Azure. Clique em Upload metadata file na página de configuração de SSO, conforme mostrado na captura de tela na documentação do Azure vinculada.

Opcionalmente, adicione uma URL RelayState ao seu IdP para direcionar usuários a uma URL de sua escolha e evitar redirecionamentos desnecessários após o login. Você pode usar:

Destino
URL do RelayState

MongoDB Atlas

Login URL gerado para a configuração do seu provedor de identidade no aplicativo de gerenciamento de federação do Atlas.

Portal de suporte do MongoDB

https://auth.mongodb.com/app/salesforce/exk1rw00vux0h1iFz297/sso/saml

MongoDB University

https://auth.mongodb.com/home/mongodb_thoughtindustriesstaging_1/0oadne22vtcdV5riC297/alndnea8d6SkOGXbS297

Fóruns da comunidade do MongoDB

https://auth.mongodb.com/home/mongodbexternal_communityforums_3/0oa3bqf5mlIQvkbmF297/aln3bqgadajdHoymn297

MongoDB feedback engine

https://auth.mongodb.com/home/mongodbexternal_uservoice_1/0oa27cs0zouYPwgj0297/aln27cvudlhBT7grX297

JIRA DO MONGODB

https://auth.mongodb.com/app/mongodbexternal_mongodbjira_1/exk1s832qkFO3Rqox297/sso/saml

Mapeie seu domínio

O mapeamento de domínio ao IdP indica ao Atlas que usuários do seu domínio devem ser redirecionados para o Login URL para a configuração do seu provedor de identidade.

Quando os usuários visitam a página de login do Atlas, eles inserem seu endereço de e-mail. Se o domínio de e-mail estiver associado a um IdP, ele será enviado para o URL de login para esse IdP.

Importante

Quando você mapeia um único domínio para vários provedores de identidade, os usuários que se conectam usando o console do MongoDB nuvem são automaticamente redirecionados para o provedor de identidade associado ao primeiro aplicativo SAML provedor de identidade configurado para o Atlas.

Para usar um provedor de identidade alternativo, os usuários devem conectar por meio de um URL de conexão iniciado pelo SP ou pelo provedor de identidade.

Utilize o Federation Management Console para mapear seu domínio para o IdP:

1
In Atlas, acesse o console do Federation Management para sua organização.

  1. Se ainda não estiver exibido, selecione sua organização desejada no Menu Organizations na barra de navegação.

  2. Na barra lateral, clique em Federation sob o título Identity & Access.

  3. Clique em Open Federation Management App.

The Federation page displays.

2

Insira informações de mapeamento de domínio.

  1. Clique em Add a Domain.

  2. Na tela Domains, clique em Add Domain.

  3. Insira as seguintes informações para o mapeamento do seu domínio:

    Campo
    Descrição

    Nome de exibição

    Etiqueta para identificar facilmente o domínio.

    Nome de domínio

    Nome de domínio para mapear.

  4. Clique em Next.

3

Escolha seu método de verificação de domínio.

Observação

Você pode escolher o método de verificação uma vez. Não pode ser modificado. Para selecionar um método de verificação diferente, exclua e recrie o mapeamento de domínio.

Selecione a aba apropriada dependendo se você pretende verificar seu domínio com um arquivo HTML ou criando um registro TXT de DNS:

Carregue um arquivo HTML com uma chave de verificação para atestar que o domínio é seu.

  1. Clique em HTML File Upload.

  2. Clique em Next.

  3. Baixe o arquivo mongodb-site-verification.html que o Atlas disponibiliza.

  4. Carregue o arquivo HTML em um site do seu domínio. Você precisa acessar o arquivo em <https://host.domain>/mongodb-site-verification.html.

  5. Clique em Finish.

4

Verifique seu domínio.

A tela Domains exibe os domínios não verificados e verificados que você mapeou para o seu IdP. Para verificar seu domínio, clique no botão Verify do domínio de destino. O Atlas mostra se a verificação foi bem-sucedida ou não em um banner na parte superior da tela.

5
Exclua o arquivo de registro fornecido.

Importante

Para evitar uma possível vulnerabilidade de segurança, exclua o arquivo de registro fornecido após a conclusão da verificação.

Associe seu domínio ao seu provedor de identidade

Depois de verificar com êxito seu domínio, use o Federation Management Console para associar o domínio ao Microsoft Entra ID:

1

Clique em Identity Providers na navegação à esquerda.

2

Para o IdP que você deseja associar ao domínio, clique em Edit ao lado de Associated Domains.

3

Selecione o domínio que você deseja associar ao IdP.

4

Clique em Confirm.

Teste o mapeamento do seu domínio

Importante

Antes de iniciar o teste, copie e salve o URL do modo Bypass SAML do seu IdP. Utilize esta URL para ignorar a autenticação federada no caso de você estar bloqueado da sua organização do Atlas.

Ao testar, mantenha sua sessão conectada ao Federation Management Console para garantir ainda mais contra bloqueios.

Para mais informações sobre Bypass SAML Mode, consulte Ignorar Modo SAML.

Use o Federation Management Console para testar a integração entre seu domínio e o Microsoft Entra ID:

1

Em uma janela privada do navegador, navegue até a página de acesso do Atlas.

2

Insira um nome de usuário (geralmente um endereço de e-mail) com seu domínio verificado.

Exemplo

Se o seu domínio verificado for mongodb.com, use um endereço de e-mail do formulário username@mongodb.com.

3

Clique em Next. Se você mapeou seu domínio corretamente, será redirecionado ao seu IdP para autenticação. Após a autenticação bem-sucedida, você será redirecionado de volta ao Atlas.

Observação

Você pode ignorar a página de login do Atlas navegando diretamente para seu IdP Login URL.

(Opcional) Mapear uma Organização

Utilize o Federation Management Console para atribuir aos usuários do seu domínio acesso a organizações específicas do Atlas:

1
In Atlas, acesse o console do Federation Management para sua organização.

  1. Se ainda não estiver exibido, selecione sua organização desejada no Menu Organizations na barra de navegação.

  2. Na barra lateral, clique em Federation sob o título Identity & Access.

  3. Clique em Open Federation Management App.

The Federation page displays.

2

Conecte uma organização ao Aplicativo de Federação.

  1. Clique em Link Organizations.

    O Atlas exibe todas as organizações onde você é um Organization Owner.

    As organizações que ainda não estão conectadas ao Aplicativo de Federação têm o botão Configure Access na coluna Actions.

  2. Clique no botão Configure Access da organização desejada.

3

Aplique um Fornecedor de Identidade à organização.

  1. Na tela Identity Provider, clique em Connect Identity Provider.

    O Atlas leva você até a tela Identity Providers que mostra todos os IdPs que vinculou ao Atlas.

  2. Para o IdP que você deseja aplicar na organização, clique em Connect.

  3. No modal Apply Identity Provider to Organizations, selecione as organizações para as quais este IdP se aplica.

  4. Clique em Confirm.

4

Conecte uma organização ao Aplicativo de Federação.

  1. Clique em Linked Organizations na navegação à esquerda.

  2. Na lista do Organizations, garanta que suas organizações desejadas agora tenham o Identity Provider esperado.

(Opcional) Configurar opções avançadas de autenticação federada

Você pode configurar as seguintes opções avançadas para autenticação federada para maior controle sobre seus usuários federados e fluxo de autenticação:

Observação

As seguintes opções avançadas para autenticação federada exigem que você mapeie uma organização.

Conecte-se no Atlas usando seu URL de acesso

Todos os usuários que você atribui ao aplicativo Microsoft Entra ID podem conectar ao Atlas usando suas credenciais do Microsoft Entra ID no Login URL. Os usuários têm acesso às organizações que você mapeou para seu provedor de identidade.

Importante

Quando você mapeia um único domínio para vários provedores de identidade, os usuários que se conectam usando o console do MongoDB nuvem são automaticamente redirecionados para o provedor de identidade associado ao primeiro aplicativo SAML provedor de identidade configurado para o Atlas.

Para usar um provedor de identidade alternativo, os usuários devem conectar por meio de um URL de conexão iniciado pelo SP ou pelo provedor de identidade.

Se você selecionar um papel de organização padrão, os novos usuários que se conectam ao Atlas usando o Login URL terão o papel que você especificou

Voltar
Funções
Próximo
Google Workspace
Avalie esta página

Nesta página