本指南介绍如何将 Microsoft Entra ID 作为 IdP 以配置联合身份验证。
在将 Microsoft Entra ID 与 Atlas 集成在一起后，您可以使用公司的凭证登录到 Atlas 和其他 MongoDB 云服务。
注意
Atlas现在通过 OIDC/OAuth 2.0 进行身份验证和授权，支持数据库用户进行 SSO。
必需的访问权限
如需管理联合身份验证，必须拥有 Organization Owner 访问权限，能够访问一个或多个将联合设置委托给实例的组织。
先决条件
要将Microsoft Entra ID用作Atlas的 IdP，您必须具备：
与您的订阅关联的Microsoft Entra ID租户。有关设置Microsoft Entra ID租户的信息，请参阅Microsoft Entra ID文档。
在 Microsoft Entra ID 租户中至少具有
Cloud App Administrator和User Administrator权限。自定义的可路由域名。
步骤
在以下过程中，为Atlas Federation Management Console 打开一个浏览器标签页，并为Azure控制台打开一个标签页会很有帮助。
添加域用户
如果还没有，请使用Azure控制台将自定义域名添加到Microsoft Entra ID并创建用户：
将您的自定义域添加到 Microsoft Entra ID 中。
将您的自定义域名添加到 Microsoft Entra ID 中，以创建属于您的域的用户。在添加您的域后，还必须将 Microsoft Entra ID DNS 信息添加到 DNS 提供程序的 TXT 记录中并验证配置。
要将自定义域添加到Microsoft Entra ID，请参阅Azure文档。
创建 Microsoft Entra ID 用户。
如果这些用户还不存在，请在 Microsoft Entra ID 中创建要授予访问权限的用户。用户必须属于您添加到 Microsoft Entra ID 的自定义域。
要创建Microsoft Entra ID用户，请参阅Azure文档。
将 Microsoft Entra ID 配置为身份提供程序
使用Azure控制台将Microsoft Entra ID配置为 SAML IdP。您可以从库中添加MongoDB Cloud应用，也可以手动配置应用程序。
从库中添加 MongoDB Cloud 应用程序。
要将MongoDB Cloud应用添加到Microsoft Entra ID租户，请参阅Azure文档。
将用户分配给应用程序。
将用户分配给应用程序。完成本教程后， 这些用户将可以访问 Atlas 和其他 MongoDB 云服务。
要将Microsoft Entra ID用户分配给应用程序，请参阅Azure文档。
导航到 SAML 配置页面，开始配置单点登录。
要导航到 SAML 配置页面，请参阅Azure文档。
为标识符和回复 URL 设置临时值。
要生成有效的 SAML 签名证书，您必须为Microsoft Entra ID企业应用程序的 Identifier 和 Reply URL 分配临时值。如果在设置这些值之前下载证书，下载的证书将不是唯一的，您必须在设置这些值后重新下载证书。
要设置临时值：
单击第 1 部分中的 Edit。
删除任何现有的默认值，并设置以下临时值：
设置临时值Identifier (Entity ID)
https://www.okta.com/saml2/service-provider/MongoDBCloudReply URL (Assertion Consumer Service URL).
https://auth.mongodb.com/sso/saml2/单击 Save（连接）。
刷新浏览器页面，确保重新生成证书。
首次更新临时标识符和回复URL后，证书的指纹和到期日期将不再是原来的值。
可选：将群组声明添加到 SAML 令牌。
如果不使用角色映射，请跳过此步骤。
要使用角色映射，请将以下群组声明添加到Microsoft Entra ID发送到Atlas 的SAML 令牌中：
单击 Add a group claim。Azure 显示 Group Claims 面板。
在 Which groups associated with the user should be returned in the claim? 中，单击 Security groups。
所选择的群组取决于您在 Azure 环境中配置的群组类型。 您可能需要选择不同类型的群组 来发送相应的群组信息。
从 Source attribute 下拉菜单中，选择 Group Id 或其他源属性。
如果选择 Group Id，Azure 将发送安全群组的“对象 ID”，而不是人类可读的群组名称。
Entra ID支持在
memberOf声明中写入群组名称，而不是 GUID。要将 Entra ID配置为发送群组名称，请选择一个不同的源属性来发出仅云群组显示名称。有关详细信息，请参阅使用Microsoft Entra ID配置应用程序的群组声明。在Atlas中创建角色映射时，请将 SAML 响应中发送的Azure群组数据与配置的Atlas角色映射名称精确匹配。
单击 Advanced options 部分中的 Customize the name of the group claim。
将 Name 设置为 memberOf。
将 Namespace 留空。
清除 Emit groups as role claims（允许此应用请求其他 SSO URL）。
单击 Save（连接）。
将非库应用程序添加到 Microsoft Entra ID。
为应用程序指定一个描述性名称，例如 MongoDB-Atlas。
要将非库应用程序添加到Microsoft Entra ID，请参阅Azure文档。
将用户分配给应用程序。
将用户分配给应用程序。完成本教程后， 这些用户将可以访问 Atlas 和其他 MongoDB 云服务。
要将Microsoft Entra ID用户分配给应用程序，请参阅Azure文档。
导航到 SAML 配置页面，开始配置单点登录。
要导航到 SAML 配置页面，请参阅Azure文档。
为标识符和回复 URL 设置临时值。
要生成有效的 SAML 签名证书，您必须为Microsoft Entra ID企业应用程序的 Identifier 和 Reply URL 分配临时值。如果在设置这些值之前下载证书，下载的证书将不是唯一的，您必须在设置这些值后重新下载证书。
要设置临时值：
单击第 1 部分中的 Edit。
删除任何现有的默认值，并设置以下临时值：
设置临时值Identifier (Entity ID)
https://www.okta.com/saml2/service-provider/MongoDBCloudReply URL (Assertion Consumer Service URL).
https://auth.mongodb.com/sso/saml2/单击 Save（连接）。
刷新浏览器页面，确保重新生成证书。
首次更新临时标识符和回复URL后，证书的指纹和到期日期将不再是原来的值。
编辑 Unique User Identifier 必需声明。
使用以下值：
Choose name identifier format:
UnspecifiedSource:
AttributeSource attribute:
user.userprincipalname重要
选择“来源”属性
根据您的 Active Directory 配置，包含用户完整电子邮件地址的源属性可以不是
user.userprincipalname。使用包含与您的联邦域内现有 Atlas 用户的用户名相匹配的电子邮件地址的源属性，例如user.mail。对于联合域中的现有 Atlas 用户，选择包含这些用户当前 Atlas 用户名的源属性。
要编辑 Unique User Identifier 必需声明，请参阅 Azure 文档。
在 SAML 令牌中添加用户声明。
将以下用户声明添加到 Microsoft Entra ID 发送到 Atlas 的 SAML 令牌中：
重要
Name（名称）列中的值区分大小写。严格按照所示输入。
对于所有用户索赔，必须将 Namespace 字段留空。
名称 | 源 | 源属性 |
|---|---|---|
| 属性 |
|
| 属性 |
|
注意
根据您的 Active Directory 配置，您使用的源属性可能会有所不同。将包含用户名字和姓氏的源属性用于相应的声明。
要添加用户声明，请参阅 Azure 文档。
可选：将群组声明添加到 SAML 令牌。
如果不使用角色映射，请跳过此步骤。
要使用角色映射，请将以下群组声明添加到Microsoft Entra ID发送到Atlas 的SAML 令牌中：
单击 Add a group claim。Azure 显示 Group Claims 面板。
在 Which groups associated with the user should be returned in the claim? 中，单击 Security groups。
所选择的群组取决于您在 Azure 环境中配置的群组类型。 您可能需要选择不同类型的群组 来发送相应的群组信息。
从 Source attribute 下拉菜单中，选择 Group Id 或其他源属性。
如果选择 Group Id，Azure 将发送安全群组的“对象 ID”，而不是人类可读的群组名称。
Entra ID支持在
memberOf声明中写入群组名称，而不是 GUID。要将 Entra ID配置为发送群组名称，请选择一个不同的源属性来发出仅云群组显示名称。有关详细信息，请参阅使用Microsoft Entra ID配置应用程序的群组声明。在Atlas中创建角色映射时，请将 SAML 响应中发送的Azure群组数据与配置的Atlas角色映射名称精确匹配。
单击 Advanced options 部分中的 Customize the name of the group claim。
将 Name 设置为 memberOf。
将 Namespace 留空。
清除 Emit groups as role claims（允许此应用请求其他 SSO URL）。
单击 Save（连接）。
验证 SAML 签名证书是否使用 SHA-256。
要验证 SAML 签名证书是否使用 SHA-256 签名算法，请参阅Azure文档。
在 Atlas 中添加 Microsoft Entra ID 以作为身份提供程序
使用 Federation Management Console 和Azure控制台将Microsoft Entra ID添加为 IdP：
将 Microsoft Entra ID 作为身份提供程序添加到 Atlas 中。
单击 Configure Identity Providers（连接）。
如果您尚未配置任何身份提供程序，单击 Setup Identity Provider（设置身份提供程序）。否则，在 Identity Providers（身份提供程序）屏幕上，单击 Add Identity Provider（配置身份提供程序）。
输入或选择以下 SAML 协议设置。所有字段均为必填项：
字段说明Configuration Name
描述性名称，例如
Microsoft Entra ID。IdP Issuer URI
Microsoft Entra ID Identifier 本教程前面部分从Azure复制的。
IdP Single Sign-On URL
Login URL 您在本教程前面从Azure复制的。
IdP Signature Certificate
Base64-encoded SAML 签名证书（您在本教程前面从Azure下载的）。您可以执行以下任一操作：
从您的计算机上传证书，或者
将证书内容粘贴到文本框中。
Request Binding
HTTP POST.
Response Signature Algorithm
SHA-256.
单击 Next（连接）。
将元数据文件上传到Azure ，以完成将Microsoft Entra ID配置为 IdP 的操作。
要上传文件，请参阅Azure文档中为应用启用单点登录的步骤3 中的屏幕截图。单击 SSO 配置页面上的 Upload metadata file，如链接的Azure文档中的屏幕截图所示。
可选择在 IdP 中添加 RelayState URL，将用户发送到您选择的 URL，避免登录后不必要的重定向。您可以使用：
目的地 | RelayState URL | |
|---|---|---|
MongoDB Atlas | Login URL 在 Atlas Federation Management 应用程序中为身份提供程序配置生成的。 | |
MongoDB 支持门户 | | |
MongoDB University | | |
MongoDB 社区论坛 | | |
MongoDB 反馈引擎 | | |
MongoDB JIRA | |
映射您的域
将域映射到 IdP 可以让Atlas知道域中的用户应被定向到身份提供商配置的 Login URL。
访问 Atlas 登录页面时，用户需要输入自己的电子邮件地址。 如果电子邮件域与 IdP 关联，则被发送到该 IdP 的登录 URL。
重要
将单个域映射到多个身份提供程序时，使用MongoDB Cloud 控制台登录的用户会自动重定向到与为Atlas配置的第一个 SAML IdP应用程序关联的 IdP。
要使用备用身份提供程序，用户必须通过 SP 启动或身份提供程序启动的URL登录。
使用 Federation Management Console 将您的域映射到 IdP：
选择域验证方法。
注意
您可以选择一次验证方法。不能修改。 如需选择不同的验证方法，请删除域映射，然后重新创建。
根据您是通过上传 HTML文件还是创建 DNS TXT记录来验证域，选择相应的标签页：
上传包含验证密钥的 HTML文件，以验证您是否拥有自己的域。
单击 HTML File Upload（连接）。
单击 Next（连接）。
下载 Atlas 提供的
mongodb-site-verification.html文件。将 HTML文件上传到域中的站点。您必须能够访问权限位于
<https://host.domain>/mongodb-site-verification.html的文件。单击 Finish（连接）。
在您的域提供商系统中创建 DNS TXT 记录，以验证您是否拥有自己的域。每个 DNS 记录都会将特定的 Atlas 组织与特定的域关联起来。
单击 DNS Record（连接）。
单击 Next（连接）。
复制所提供的 TXT 记录。TXT 记录具有以下格式：
mongodb-site-verification=<32-character string> 登录您的域名提供商（例如 GoDaddy.com 或 networksolutions.com）。
将 Atlas 提供的 TXT 记录添加到域。
返回 Atlas 并单击 Finish（完成）。
验证域。
Domains 屏幕显示您已映射到 IdP 的未验证和已验证域。要验证您的域，请单击目标域的 Verify 按钮。 Atlas在屏幕顶部的横幅显示验证是否成功。
将域与身份提供商关联
在成功验证您的域后，使用 Federation Management Console（联合管理控制台）将该域与 Microsoft Entra ID 相关联：
单击左侧导航栏中的 Identity Providers。
对于要与域关联的 IdP，请单击 Associated Domains 旁边的 Edit。
选择要与 IdP 关联的域。
单击 Confirm（连接）。
测试您的域映射
重要
在开始测试之前，复制并保存 IdP 的旁路 SAML 模式URL 。使用此URL可在您被Atlas组织锁定事件绕过联合身份验证。
测试时，请将会话登录到 Federation Management Console，进一步防止锁定。
要了解有关 Bypass SAML Mode 的详情，请参阅旁路 SAML 模式。
使用 Federation Management Console（联合管理控制台）测试您的域与 Microsoft Entra ID 之间的集成：
在专用浏览器窗口中，导航到 Atlas 登录页面。
输入用户名（通常是电子邮件地址）和已验证的域名。
例子
如果验证的域是 mongodb.com，请使用 username@mongodb.com 形式的电子邮件地址。
单击 Next。如果您正确映射了域，您将被重定向到 IdP 进行身份验证。身份验证成功后，您将被重定向回 Atlas。
注意
您可以直接导航到 IdP Login URL，绕过Atlas登录页面。
(可选）映射组织
使用 Federation Management Console 为域用户分配对特定 Atlas 组织的访问权限：
将一个组织连接到联合应用程序。
单击 Link Organizations（连接）。
Atlas 显示您属于
Organization Owner（组织所有者）的所有组织。尚未连接到联合应用程序的组织在 Actions（操作）列中具有 Configure Access（连接）按钮。
单击所需组织的 Configure Access（连接）按钮。
（可选）配置高级联合身份验证选项
您可以为联合身份验证配置以下高级选项， 以便更好地控制联邦用户和身份验证流程：
注意
以下联合身份验证高级选项要求您映射一个组织。
使用登录 URL 登录 Atlas
您分配给Microsoft Entra ID应用程序的所有用户都可以使用其在 Login URL 上的Microsoft Entra ID凭证登录Atlas 。用户可以访问权限您映射到 IdP 的组织。
重要
将单个域映射到多个身份提供程序时，使用MongoDB Cloud 控制台登录的用户会自动重定向到与为Atlas配置的第一个 SAML IdP应用程序关联的 IdP。
要使用备用身份提供程序，用户必须通过 SP 启动或身份提供程序启动的URL登录。
如果您选择默认组织角色，则使用 Login URL（登录 URL）登录 Atlas 的新用户将拥有您指定的角色