Configurar o MongoDB Agent para Autenticação OIDC

Navegue até as configurações de Segurança.

No Ops Manager, acesse seu projeto. Na navegação à esquerda, clique em Deployment, clique em Security e selecione a aba Settings.

Ative a autenticação OIDC.

Na seção MongoDB Deployment Authentication Mechanism, selecione Federated Auth (OIDC).

Adicione uma configuração do provedor de identidade OIDC.

1. Na seção OIDC Connection and Authorization, clique em + OIDC IdP Configuration.

2. Na janela OIDC Protocol Settings, selecione Workload Identity Federation.

3. Insira os detalhes do provedor de identidade:

   Campo	Descrição
   Configuration Name	Prefixo que identifica esta configuração de provedor de identidade no MongoDB Ops Manager.
   Issuer URI	URI do provedor de identidade que emite tokens de acesso.
   Audience	Deve corresponder à declaração aud no JWT que seu provedor de identidade emite.
   Authorization Method	Selecione User ID ou Group Membership, com base na sua configurar de provedor de identidade.
   Customize User Claim	Reivindicação que identifica o usuário. Padrão é sub.

4. Clique em Save Configuration.

Configure a conexão do agente com a implantação.

1. Na seção MongoDB Agent Connections to Deployment, selecione Workload Federation.

   Importante

   Depois de implantar com a Federação de carga de trabalho, você não poderá reverter o MongoDB Agent para autenticação local.

2. Insira os detalhes de autenticação do agente :

   Campo	Descrição
   OIDC IdP Configuration	Configuração do provedor de identidade que o MongoDB Agent usa para autenticar. Selecione a configuração que você criou na etapa anterior.
   User Identifier	Valor da reivindicação principal do usuário. O Ops Manager cria o usuário MongoDB como [configuration name]/[user identifier].
   Authentication Method	Método de autenticação para a conexão do provedor de identidade do agente. Selecione Client Credentials para integrações padrão de provedor de identidade, como Okta, ou Built-in para identidades de carga de trabalho nativas da nuvem no Azure ou GCP.
   Client ID	ID do cliente OAuth 2.0 atribuído ao agente. Obrigatório ao usar Client Credentials.
   Client Secret	OAuth 2.0 segredo do cliente atribuído ao agente. Obrigatório ao usar Client Credentials.

   Dica

   Se o seu provedor de identidade usa uma identidade de carga de trabalho nativa da nuvem, como Azure ou GCP, selecione Built-in. Você não precisa fornecer um Client ID ou Client Secret.

3. Clique em Save Settings.

Revise e implemente as alterações.

1. No modal Review Your Changes, revise a implantação. Confirme que o diff mostra Auth Mechanisms: MONGODB-OIDC e os detalhes da Federação de carga de trabalho em Auth.

2. Confirme a implantação.

Depois que o MongoDB Ops Manager aplica as alterações, o MongoDB Agent recebe automaticamente a configuração atualizada e busca seus tokens OIDC iniciais do provedor de identidade. O agente faz a transição para a autenticação OIDC sem uma reinicialização.

Gere um novo segredo do cliente no seu IdP.

No seu provedor de identidade, abra o aplicativo OAuth/OIDC que você usa para esta implantação e gere um novo segredo de cliente. Não revogue o segredo existente ainda.

Atualize o segredo no Ops Manager.

1. No Ops Manager, acesse seu projeto. Clique em Deployment, Security e selecione a aba Settings.

2. Em MongoDB Agent Connections to Deployment, selecione Workload Federation.

3. Insira o novo segredo em Client Secret e clique em Save Settings.

4. Revise e confirme a implantação.

Aguarde o MongoDB Agent atualizar seus tokens, normalmente dentro de uma hora.

Revogue o segredo antigo em seu IdP.