为 OIDC 身份验证配置MongoDB 助手

导航至安全设置。

在Ops Manager中，转到您的项目。在左侧导航栏中，依次单击 Deployment 和 Security，然后选择 Settings标签页。

启用 OIDC身份验证。

在 MongoDB Deployment Authentication Mechanism 部分，选择 Federated Auth (OIDC)。

添加 OIDC 身份提供商配置。

1. 在 OIDC Connection and Authorization 部分中，单击 + OIDC IdP Configuration。

2. 在 OIDC Protocol Settings窗口中，选择 Workload Identity Federation。

3. 输入 身份提供程序 详细信息：

   字段	说明
   Configuration Name	在 MongoDB Ops Manager 中标识此 身份提供程序 配置的前缀。
   Issuer URI	颁发访问令牌的 身份提供程序 的 URI。
   Audience	必须与您的 身份提供程序 颁发的 JWT 中的 aud 声明相匹配。
   Authorization Method	根据您的 身份提供程序 设置，选择 User ID 或 Group Membership。
   Customize User Claim	用于标识用户身份的声明。默认为 sub。

4. 单击 Save Configuration（连接）。

配置与部署的代理连接。

1. 在 MongoDB Agent Connections to Deployment 部分，选择 Workload Federation。

   重要

   使用工作负载联合部署后，无法将MongoDB 助手恢复为本地身份验证。

2. 输入代理身份验证详细信息：

   字段	说明
   OIDC IdP Configuration	MongoDB Agent 用于身份验证的 身份提供程序配置。选择您在上一个步骤中创建的配置。
   User Identifier	用户主体声明值。Ops Manager将MongoDB用户创建为 [configuration name]/[user identifier]。
   Authentication Method	代理的 身份提供程序 连接的身份验证方法。为 Okta 等标准 身份提供程序 集成选择 Client Credentials，或为 Azure 或 GCP 上的云原生工作负载身份选择 Built-in。
   Client ID	分配给代理的OAuth 2.0客户端ID 。使用 Client Credentials 时必需。
   Client Secret	分配给代理的 OAuth 2.0客户端密钥。使用 Client Credentials 时必需。

   提示

   如果您的 身份提供程序 使用云原生工作负载身份（例如 Azure 或 GCP），请选择 Built-in。您无需提供 Client ID 或 Client Secret。

3. 单击 Save Settings（连接）。

查看并部署更改。

1. 在 Review Your Changes 模式中，查看部署差异。确认差异显示 Auth Mechanisms: MONGODB-OIDC 以及 Auth 下的工作负载联合详细信息。

2. 确认部署。

在 MongoDB Ops Manager 应用更改后，MongoDB Agent 会自动接收更新后的配置，并从 身份提供程序 获取其初始 OIDC 令牌。代理无需重启即可转换为 OIDC 身份验证。

在 IdP 中生成新的客户端密钥。

在您的 身份提供程序 中，打开您用于此部署的 OAuth/OIDC 应用程序，并生成一个新的客户端密钥。请勿立即撤销现有密钥。

在Ops Manager中更新密钥。

1. 在Ops Manager中，转到您的项目。单击 Deployment、Security，然后选择 Settings标签页。

2. 在 MongoDB Agent Connections to Deployment 下，选择 Workload Federation 。

3. 在 Client Secret 中输入新密钥，然后单击 Save Settings。

4. 查看并确认部署。

等待MongoDB 助手刷新其令牌，通常在一小时内。

撤销 IdP 中的旧密钥。