Configurar o MongoDB Agent para Autenticação OIDC

Navegue até as configurações de Segurança.

No Ops Manager, acesse seu projeto. Na navegação à esquerda, clique em Deployment, clique em Security e selecione a aba Settings.

Ative a autenticação OIDC.

Na seção MongoDB Deployment Authentication Mechanism, selecione Federated Auth (OIDC).

Adicione uma configuração do provedor de identidade OIDC.

1. Na seção OIDC Connection and Authorization, clique em + OIDC IdP Configuration.

2. Na janela OIDC Protocol Settings, selecione Workload Identity Federation.

3. Insira os detalhes do provedor de identidade:

   Campo	Descrição
   Configuration Name	Prefixo que identifica esta configuração de provedor de identidade no Ops Manager.
   Issuer URI	URI do provedor de identidade que emite tokens de acesso.
   Audience	Deve corresponder à aud reivindicação no JWT que seu IdP emite.
   Authorization Method	Selecione User ID ou Group Membership, com base na configuração do seu provedor de identidade.
   Customize User Claim	Reivindicação que identifica o usuário. Padrão é sub.

4. Clique em Save Configuration.

Configure a conexão do agente com a implantação.

1. Na seção MongoDB Agent Connections to Deployment, selecione Workload Federation.

   Importante

   Depois de implantar com a Federação de carga de trabalho, você não poderá reverter o MongoDB Agent para autenticação local.

2. Insira os detalhes de autenticação do agente :

   Campo	Descrição
   OIDC IdP Configuration	Configuração do provedor de identidade que o MongoDB Agent usa para autenticar. Selecione a configuração que você criou na etapa anterior.
   User Identifier	Valor da reivindicação principal do usuário. O Ops Manager cria o usuário MongoDB como [configuration name]/[user identifier].
   Authentication Method	Método de autenticação para a conexão provedor de identidade do agente. Selecione Client Credentials para integrações de provedores de identidade padrão, como Okta, ou Built-in para identidades de carga de trabalho nativas da nuvem no Azure ou no GCP.
   Client ID	ID do cliente OAuth 2.0 atribuído ao agente. Obrigatório ao usar Client Credentials.
   Client Secret	OAuth 2.0 segredo do cliente atribuído ao agente. Obrigatório ao usar Client Credentials.

   Dica

   Se o seu IdP utilizar uma identidade de carga de trabalho nativa da nuvem, como Azure ou GCP, selecione Built-in. Você não precisa fornecer um Client ID ou Client Secret.

3. Clique em Save Settings.

Revise e implemente as alterações.

1. No modal Review Your Changes, revise a implantação. Confirme que o diff mostra Auth Mechanisms: MONGODB-OIDC e os detalhes da Federação de carga de trabalho em Auth.

2. Confirme a implantação.

Depois que o Ops Manager aplicar as alterações, o MongoDB Agent recebe automaticamente a configuração atualizada e obtém seus tokens OIDC iniciais do provedor de identidade. O agente faz a transição para a autenticação OIDC sem reiniciar.

Gere um novo segredo do cliente no seu IdP.

Em seu IdP, abra o aplicação OAuth/OIDC que você usa para essa implantação e gere um novo segredo do cliente. Não revogue o segredo existente ainda.

Atualize o segredo no Ops Manager.

1. No Ops Manager, acesse seu projeto. Clique em Deployment, Security e selecione a aba Settings.

2. Em MongoDB Agent Connections to Deployment, selecione Workload Federation.

3. Insira o novo segredo em Client Secret e clique em Save Settings.

4. Revise e confirme a implantação.

Aguarde o MongoDB Agent atualizar seus tokens, normalmente dentro de uma hora.

Revogue o segredo antigo em seu IdP.