MongoDB Ops Manager e o Backup Daemon podem autenticar em todos os bancos de dados de apoio compatíveis usando OIDC. Isso inclui o banco de dados de aplicativo do MongoDB Ops Manager, o armazenamento de snapshots, o armazenamento de oplog e o armazenamento de sincronização, incluindo os bancos de dados de metadados para armazenamento de snapshots e oplog com suporte S3. A autenticação OIDC está disponível além dos mecanismos de autenticação existentes que o MongoDB Ops Manager oferece suporte. Habilitar OIDC para um banco de dados de apoio não desabilita nem substitui qualquer outro mecanismo de autenticação que você já configurou.
Esta página descreve os modos de autenticação OIDC que o MongoDB Ops Manager oferece suporte para bancos de dados de apoio, os pré-requisitos para habilitar o OIDC e as limitações desse recurso. A autenticação OIDC abordada nesta página aplica-se apenas às conexões que o MongoDB Ops Manager e o Backup Daemon fazem com bancos de dados de apoio. Não abrange a autenticação do usuário final no próprio MongoDB Ops Manager.
Modos OIDC compatíveis
O MongoDB Ops Manager oferece suporte a dois modos de autenticação OIDC para bancos de dados de apoio.
Modo | Descrição |
|---|---|
Chamada de resposta personalizada | Use o fluxo de credenciais do cliente para fazer a solicitação de tokens de acesso de qualquer OIDC-compatível provedor de identidade, como Keycloak, Okta ou Azure. Este modo requer um ID de cliente e um segredo do cliente. |
Autenticação de ambiente integrada | Use uma identidade de carga de trabalho fornecida pelo ambiente de implantação para Azure, GCP ou Kubernetes. O driver MongoDB obtém um token de identidade de carga de trabalho do ambiente automaticamente, e este modo não requer um segredo do cliente. |
Pré-requisitos
Antes de habilitar a autenticação OIDC para um banco de dados de apoio, confirme os seguintes pré-requisitos.
O banco de dados de apoio deve executar o MongoDB 7.0.11 ou posterior.
O MongoDB deve ser configurado para permitir o mecanismo de autenticação
MONGODB-OIDCe para definiroidcIdentityProviderspara o provedor de identidade que você pretende usar.Para o modo de chamada de resposta personalizado, você precisa de um cliente do provedor de identidade IdP com o fluxo de credenciais do cliente ativado, e o ponto de extremidade de token e JWKS do provedor de identidade IdP deve ser acessível por HTTPS.
Para autenticação de ambiente integrada, o ambiente de implantação já deve fornecer uma identidade de carga de trabalho válida para Azure, GCP ou Kubernetes.
O servidor hospedar do MongoDB Ops Manager e o servidor hospedar do Backup Daemon devem confiar no certificado TLS do provedor de identidade no armazenar de confiança da JVM ou do sistema operacional. Se o ponto de extremidade do provedor de identidade usar uma autoridade de certificação privada ou um certificado autoassinado, e esse certificado não for confiável, o MongoDB Ops Manager e o Backup Daemon não conseguirão adquirir tokens com um erro de handshake TLS.
Limitações
O MongoDB Ops Manager expõe a configuração OIDC para o banco de dados de aplicativo do MongoDB Ops Manager apenas por meio de
conf-mms.properties. A interface de administrador não inclui uma IU para a configuração do OIDC do banco de dados de aplicativo do MongoDB Ops Manager.A autenticação OIDC descrita nesta página aplica-se apenas às conexões que o Ops Manager e o Backup Daemon fazem aos bancos de dados de apoio. Não se aplica à autenticação do usuário final no MongoDB Ops Manager.
Validação de versão
O Ops Manager valida a versão do MongoDB de destino antes de aplicar uma configuração OIDC. A validação difere dependendo do tipo de conexão:
Para um armazenamento de backup, criar ou atualizar o armazenamento por meio da interface Admin ou da API com uma versão do MongoDB de destino anterior a 7.0.11 falha.
Para o banco de dados de aplicativo do MongoDB Ops Manager, o MongoDB Ops Manager bloqueia a inicialização se OIDC estiver habilitado e ele estiver executando uma versão do MongoDB anterior a 7.0.11.
Requisitos de reinicialização
Importante
Alterar as configurações OIDC do banco de dados de aplicativo do MongoDB Ops Manager requer a reinicialização do MongoDB Ops Manager. Como o Backup Daemon lê o mesmo arquivo conf-mms.properties na inicialização, reinicie o Backup Daemon também.
Alterar as configurações de OIDC para um armazenamento de apoio, como o armazenamento de snapshots, o armazenamento de oplog ou o armazenamento de sincronização, também exige reiniciar o MongoDB Ops Manager e o Backup Daemon. Isso corresponde ao comportamento existente quando você altera o nome de usuário ou a senha de um armazenar de apoio.
Fallback e rollback
Se precisar reverter a autenticação OIDC para um banco de dados de apoio, use o procedimento aplicável.
Para o banco de dados de aplicativo do Ops Manager, defina
mms.oidcEnabledcomofalseemconf-mms.properties, restaure um mecanismo de autenticação não-OIDC na configuração de conexão e reinicie o Ops Manager e o Backup Daemon.Para um armazenamento de apoio, desabilite OIDC através da interface de administração ou da API. Se você usar a API, envie
oidc: {enabled: false}com uma configuração de autenticação não-OIDC para esse armazenar e reinicie o MongoDB Ops Manager e o Backup Daemon.