/ /

/ /

使用 Workload Identity Federation 配置MongoDB

使用 Workload Identity Federation 配置MongoDB ，以对不同平台上的服务进行身份验证。这增强了安全性并简化了服务身份管理。

重要

OpenID Connect (OIDC) 仅在Linux上受支持。

开始之前

确保您使用的是 MongoDB Enterprise。
要验证您是否正在使用MongoDB Enterprise，请将--version 命令行选项传递给mongod 或mongos ：
```
mongod --version
```
在该命令的输出中，请查找字符串 modules: subscription 或 modules: enterprise，以确认您使用的是 MongoDB Enterprise 二进制文件。
配置外部身份提供商。有关更多详细信息，请参阅配置工作负载联合身份。

步骤

使用 OpenID Connect (OIDC) 配置MongoDB服务器

要配置 MongoDB Server，请启用 MONGODB-OIDC 身份验证机制，并使用 oidcIdentityProviders 指定身份提供商 (IDP) 配置。

注意

为 Workload Identity Federation 配置MongoDB时，请将中的supportsHumanFlows oidcIdentityProviders字段设立为false 。

您可以使用配置文件或命令行来配置MongoDB服务器。

要使用配置文件，请在文件中指定以下参数：

setParameter:
   authenticationMechanisms: MONGODB-OIDC
   oidcIdentityProviders: '[ {
      "issuer": "https://okta-test.okta.com",
      "audience": "example@kernel.mongodb.com",
      "authNamePrefix": "okta-issuer",
      "authorizationClaim": "groups",
      "supportsHumanFlows": false,
   } ]'

要指定多个身份提供者，请将其他对象添加到 oidcIdentityProviders大量中。示例：

setParameter:
   authenticationMechanisms: MONGODB-OIDC
   oidcIdentityProviders: '[ {
      "issuer": "https://okta-test.okta.com",
      "audience": "example@kernel.mongodb.com",
      "authNamePrefix": "okta-issuer",
      "authorizationClaim": "groups",
      "supportsHumanFlows": false,
   }, {
      "issuer": "https://azure-test.azure.com",
      "audience": "example2@kernel.mongodb.com",
      "authNamePrefix": "azure-issuer",
      "authorizationClaim": "groups",
      "supportsHumanFlows": false,
   } ]'

要使用命令行，请指定以下初创企业选项：

mongod --auth --setParameter authenticationMechanisms=MONGODB-OIDC --setParameter \
'oidcIdentityProviders=[ {
   "issuer": "https://okta-test.okta.com",
   "audience": "example@kernel.mongodb.com",
   "authNamePrefix": "okta-issuer",
   "authorizationClaim": "groups",
   "supportsHumanFlows": false,
} ]'

要指定多个身份提供者，请将其他对象添加到 oidcIdentityProviders大量中。示例：

mongod --auth --setParameter authenticationMechanisms=MONGODB-OIDC --setParameter \
'oidcIdentityProviders=[ {
   "issuer": "https://okta-test.okta.com",
   "audience": "example@kernel.mongodb.com",
   "authNamePrefix": "okta-issuer",
   "authorizationClaim": "groups",
   "supportsHumanFlows": false
}, {
   "issuer": "https://azure-test.azure.com",
   "audience": "example2@kernel.mongodb.com",
   "authNamePrefix": "azure-issuer",
   "authorizationClaim": "groups",
   "supportsHumanFlows": false
} ]'

（可选）启用内部授权

要启用内部授权，请将 oidcIdentityProviders 参数的 useAuthorizationClaim字段设立为 false。此设置依赖于用户文档而不是来自身份提供商的授权声明，从而实现更灵活的用户管理。

重要

如果将 useAuthorizationClaim 设立为 false，则不要包含 authorizationClaim 字段。

setParameter:
   authenticationMechanisms: MONGODB-OIDC
   oidcIdentityProviders: '[ {
      "issuer": "https://okta-test.okta.com",
      "audience": "example@kernel.mongodb.com",
      "authNamePrefix": "okta-issuer",
      "useAuthorizationClaim": false,
      "supportsHumanFlows": false,
   } ]'

要指定多个身份提供者，请将其他对象添加到 oidcIdentityProviders大量中。示例：

setParameter:
   authenticationMechanisms: MONGODB-OIDC
      oidcIdentityProviders: '[ {
         "issuer": "https://okta-test.okta.com",
         "audience": "example@kernel.mongodb.com",
         "authNamePrefix": "okta-issuer",
         "useAuthorizationClaim": false,
         "supportsHumanFlows": false,
      }, {
         "issuer": "https://azure-test.azure.com",
         "audience": "example2@kernel.mongodb.com",
         "authNamePrefix": "azure-issuer",
         "useAuthorizationClaim": false,
         "supportsHumanFlows": false,
      } ]'

mongod --auth --setParameter authenticationMechanisms=MONGODB-OIDC --setParameter \
'oidcIdentityProviders=[ {
   "issuer": "https://okta-test.okta.com",
   "audience": "example@kernel.mongodb.com",
   "authNamePrefix": "okta-issuer",
   "useAuthorizationClaim": false,
   "supportsHumanFlows": false,
} ]'

要指定多个身份提供者，请将其他对象添加到 oidcIdentityProviders大量中。示例：

mongod --auth --setParameter authenticationMechanisms=MONGODB-OIDC --setParameter \
'oidcIdentityProviders=[ {
      "issuer": "https://okta-test.okta.com",
      "audience": "example@kernel.mongodb.com",
      "authNamePrefix": "okta-issuer",
      "useAuthorizationClaim": false,
      "supportsHumanFlows": false,
   }, {
      "issuer": "https://azure-test.azure.com",
      "audience": "example2@kernel.mongodb.com",
      "authNamePrefix": "azure-issuer",
      "useAuthorizationClaim": false,
      "supportsHumanFlows": false,
   } ]'

当您将useAuthorizationClaim设立为false时，使用MONGODB-OIDC机制进行身份验证的用户将从$external中的用户文档获取授权权限。对于身份提供商者的用户，每次基于 OIDC 的身份验证尝试时，服务器都会搜索 _id 与 authNamePrefix/principalName 声明的值匹配的用户文档。

后续步骤

使用 Workload Identity Federation 授权用户

了解详情

OpenID Connect 身份验证

后退

为工作负载身份验证配置外部身份提供者

来年

使用 Workload Identity Federation 授权用户