借助工作负载身份联合，您的应用程序可以使用 Azure 托管 Identities、Azure 托管 Identities 和 Google Service Accounts 等外部程序化身份访问 MongoDB Cloud Manager 部署。
如何操作
工作负载身份联合可以让您的应用程序使用 OAuth 2.0 访问令牌访问 MongoDB 部署。访问令牌可以由任何外部身份提供程序颁发，包括 Azure Entra ID 和 Google Cloud Platform (GCP)。Cloud Manager 存储用户标识符和权限，但不存储秘密信息。一组有限的 MongoDB 驱动程序 为您的应用程序提供此身份验证机制。
MongoDB驱动程序支持Workload Identity Federation 的两种类型的身份验证流程：内置身份验证和回调身份验证。
内置身份验证
如果您将应用部署在兼容的基础设施上，并且具有兼容的主体类型，您可以使用内置身份验证。您的应用可以访问 Cloud Manager 部署，无需提供密码或手动从云提供商的元数据服务请求 JSON web token。相反，您的驱动程序使用现有主体标识符来请求 JSON web token (JWT) 访问令牌。驱动程序在您的应用连接时，将令牌传递给 Cloud Manager 部署。
有关更多实现详情，请参阅您的驱动程序的文档。
内置身份验证支持的基础架构和主体类型
云服务提供商 | 基础架构类型 | 主体类型 |
|---|---|---|
GCP | Compute Engine | GCP 服务帐号 |
App Engine 标准环境 | ||
App Engine 灵活环境 | ||
Cloud Functions | ||
Cloud Run | ||
Google Kubernetes Engine | ||
Cloud Build | ||
AZURE | Azure VM | Azure 托管身份（分配的用户和系统） |
回调身份验证
可以与支持 OAuth 2.0 访问令牌的任何服务使用回调身份验证。工作负载身份联合调用回调方法，您可以在其中从授权服务器或云提供商请求所需的 JWT。当您的应用连接时，您然后将令牌传递给 Cloud Manager 使用 工作负载 Identity Federation。
有关更多实现详情，请查看 驱动程序的文档。
必需的访问权限
要配置 Workload Identity Federation，您必须拥有Cloud Manager的Project Owner 访问权限。
先决条件
您必须满足以下前提条件：
MongoDB 7.0 或更高版本。
配置了MongoDBMongoDB Agent 助手的至少一种其他身份验证机制。
注意
MongoDB Agent 无法通过 OIDC 连接到您的部署。您必须为 MongoDB Agent 启用另一个身份验证机制。如果Cloud Manager不管理监控或备份，您必须手动将其配置为使用备用身份验证机制。
步骤
要配置工作负载身份联合，请按照以下步骤操作：
配置工作负载身份提供程序（一次性设置）。
配置外部身份提供商应用程序
注意
要重置项目的身份验证和 TLS 设置，请先取消管理Cloud Manager在项目中管理的任何MongoDB部署。
配置工作负载 Identity Federation 身份验证
注意
Workload Identity Federation 仅支持使用JSON webJSON web token token进行身份验证。它不支持不透明访问权限令牌。
配置 OIDC 授权
MongoDB不会显式为 OIDC 创建数据库用户。它根据配置将 OIDC 用户映射到MongoDB角色。
完成在配置 OIDC身份验证时选择的授权类型的程序。
用户 ID
如果您选择了 User ID授权类型，请创建一个新用户以向单个用户授权：
添加 OIDC 用户。
填写用户帐户字段：
字段说明Identifier
在第一个字段，输入
$external数据库。在第二个字段中，使用 OIDC 身份提供程序 配置名和配置中的用户主体索赔，以斜杠 (
/) 分隔的形式输入用户名：{configuration_name}/{user_principal_claim}
Roles
在此框中输入任何可用的用户定义角色和内置角色。 单击该组合框会提供现有角色的列表。
Authentication Restrictions
单击 Add Entry（连接）。
在 Client Source 或 Server Address 框中，添加一个或多个 IP 地址和/或 CIDR 块。使用逗号分隔多个地址或区块。
Client Source 限制此用户可以进行身份验证并使用给定角色的地址。
Server Address 限制该用户可以进行身份验证的地址并具有给定的角色。
单击 Save（连接）。
要添加其他条目，请单击Add Entry 。
单击 Add User（连接）。
群组成员资格
如果您选择了Group Membership 授权类型，请完成以下步骤以创建自定义角色，该角色根据 IdP 用户群组成员身份授予授权：
创建 OIDC 角色。
输入以下字段：
字段必要性说明Identifier
必需
在Database框中，输入
admin。在 Name 框中，输入您的 OIDC 身份提供程序 配置名和来自您的外部身份提供程序的组名，以斜杠 (
/) 分隔：{configuration_name}/{group_name}Inherits From
Optional
角色名称和数据库对的列表。 这些对的格式为
roleName@dbName。Authentication Restrictions
Optional
您想要限制来自IdP的 IP 地址或 CIDR 符号列表。
Privilege Actions by Resource
Optional
允许对资源执行的操作。
要学习；了解更多信息，请参阅特权操作。
单击 Add Role（连接）。
通过工作负载身份联合将应用连接到 MongoDB
使用这些 MongoDB 驱动程序，将应用连接到 MongoDB 进行工作负载身份联合身份验证：
节点 / Typescript
管理现有工作负载 Identity Federation 配置
要管理您的工作负载身份联合配置，您可以执行这些操作。
Revoke JSON Web Key Sets (JWKS)
注意
请勿使用此功能轮换您的签名密钥。轮换 OIDC IdP 签名密钥时，MongoDB 会在现有访问令牌到期后自动获取 JWKS。
如果您的私钥遭到泄露，您可以立即撤销缓存在 MongoDB 节点中的 JSON Web 密钥集：
在MongoDB Cloud Manager中，转到项目的 Security 页面。
如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。
在侧边栏中，单击 Database 标题下的 Security。
显示“安全”页面。
编辑配置
要编辑 Workload Identity Federation 配置，请执行以下操作：
在MongoDB Cloud Manager中，转到项目的 Security 页面。
如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。
在侧边栏中，单击 Database 标题下的 Security。
显示“安全”页面。
删除配置
要删除 Workload Identity Federation 配置，请执行以下操作：
在MongoDB Cloud Manager中，转到项目的 Security 页面。
如果尚未显示，请从导航栏上的 Organizations 菜单中选择包含所需项目的组织。
如果尚未显示，请从导航栏的Projects菜单中选择所需的项目。
在侧边栏中，单击 Database 标题下的 Security。
显示“安全”页面。