为 OIDC 身份验证配置MongoDB 助手

导航至安全设置。

在Ops Manager中，转到您的项目。在左侧导航栏中，依次单击 Deployment 和 Security，然后选择 Settings标签页。

启用 OIDC身份验证。

在 MongoDB Deployment Authentication Mechanism 部分，选择 Federated Auth (OIDC)。

添加 OIDC 身份提供商配置。

1. 在 OIDC Connection and Authorization 部分中，单击 + OIDC IdP Configuration。

2. 在 OIDC Protocol Settings窗口中，选择 Workload Identity Federation。

3. 输入 IdP 详细信息：

   字段	说明
   Configuration Name	在Ops Manager中标识此 IdP 配置的前缀。
   Issuer URI	颁发访问权限令牌的 IdP 的 URI。
   Audience	必须与aud IdP 发布的 JWT 中的 声明一致。
   Authorization Method	根据您的 IdP设置，选择 或User ID Group Membership。
   Customize User Claim	用于标识用户身份的声明。默认为 sub。

4. 单击 Save Configuration（连接）。

配置代理与部署的连接。

1. 在 MongoDB Agent Connections to Deployment 部分，选择 Workload Federation。

   重要

   使用工作负载联合部署后，无法将MongoDB 助手恢复为本地身份验证。

2. 输入代理身份验证详细信息：

   字段	说明
   OIDC IdP Configuration	MongoDB 助手用于身份验证的 IdP 配置。选择您在上一步中创建的配置。
   User Identifier	用户主体声明值。 Ops Manager将MongoDB用户创建为 [configuration name]/[user identifier]。
   Authentication Method	代理 IdP 连接的身份验证方法。为标准Client Credentials IdP 集成（例如 Okta）选择Built-in ，为Azure或GCP上的云原生工作负载身份选择 。
   Client ID	分配给代理的OAuth 2.0客户端ID 。使用 Client Credentials 时必需。
   Client Secret	分配给代理的 OAuth 2.0客户端密钥。使用 Client Credentials 时必需。

   提示

   如果您的 IdP 使用云原生工作负载身份，例如Azure或GCP，请选择Built-in 。您无需提供Client ID 或Client Secret 。

3. 单击 Save Settings（连接）。

查看并部署更改。

1. 在 Review Your Changes 模式中，查看部署差异。确认差异显示 Auth Mechanisms: MONGODB-OIDC 以及 Auth 下的工作负载联合详细信息。

2. 确认部署。

Ops Manager应用更改后， MongoDB 助手会自动接收更新的配置，并从 IdP 获取其初始 OIDC 令牌。代理无需重启即可过渡到 OIDC身份验证。

在 IdP 中生成新的客户端密钥。

在 IdP 中，打开用于此部署的OAuth/OIDC应用程序并生成新的客户端密钥。先不要撤销现有密钥。

在Ops Manager中更新密钥。

1. 在Ops Manager中，转到您的项目。单击 Deployment、Security，然后选择 Settings标签页。

2. 在 MongoDB Agent Connections to Deployment 下，选择 Workload Federation 。

3. 在 Client Secret 中输入新密钥，然后单击 Save Settings。

4. 查看并确认部署。

等待MongoDB 助手刷新其令牌，通常在一小时内。

撤销 IdP 中的旧密钥。