Настройка MongoDB Atlas — SSO для единого входа с Microsoft Entra ID

Из этой статьи вы узнаете, как интегрировать MongoDB Atlas — единый вход с идентификатором Microsoft Entra. При интеграции MongoDB Atlas с Microsoft Entra ID для единого входа (SSO) вы можете:

• Управляйте в Microsoft Entra ID тем, кто имеет доступ к MongoDB Atlas, сообществу MongoDB, Университету MongoDB и поддержке MongoDB.
• Включите автоматический вход пользователей в MongoDB Atlas — единый вход с помощью учетных записей Microsoft Entra.
• Назначьте роли MongoDB Atlas пользователям на основе членства в группах Microsoft Entra.
• Управление учетными записями в одном центральном расположении: портал Azure.

Необходимые условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если у вас еще нет учетной записи, вы можете бесплатно создать учетную запись.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • Владелец приложения.

• Подписка MongoDB Atlas с включенной поддержкой единого входа (SSO).

Описание сценария

В этой статье описана настройка и проверка единого входа Microsoft Entra в тестовой среде.

• MongoDB Atlas поддерживает единый вход (SSO), инициированный поставщиком услуг (SP) и поставщиком удостоверений (IDP).
• MongoDB Atlas - SSO поддерживает временное создание учетных записей пользователей.

Добавление MongoDB Atlas — SSO из каталога

Чтобы настроить интеграцию MongoDB Atlas - SSO с Microsoft Entra ID, необходимо добавить MongoDB Atlas - SSO из галереи в список управляемых приложений SaaS.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.
2. Перейдите к Entra ID>Корпоративные приложения>Новое приложение.
3. В разделе Добавление из галереи введите MongoDB Atlas - SSO в поле поиска.
4. Выберите MongoDB Atlas — единый вход на панели результатов и добавьте это приложение. Подождите несколько секунд, пока приложение добавляется в клиент.

Кроме того, можно использовать мастер настройки корпоративных приложений . В этом мастере настройки вы можете добавить приложение в домен клиента, добавить пользователей и группы в приложение, назначить роли и также выполнить настройку единой аутентификации (SSO). Дополнительные сведения о мастерах Microsoft 365.

Настройка и тестирование единого входа Microsoft Entra для MongoDB Atlas (SSO)

Настройте и проверьте единый вход Microsoft Entra с MongoDB Atlas, используя тестового пользователя B.Simon. Чтобы SSO работал корректно, необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в MongoDB Atlas — SSO.

Чтобы настроить и проверить единый вход Microsoft Entra с MongoDB Atlas, выполните следующие действия:

1. Настройте единый вход Microsoft Entra , чтобы пользователи могли использовать эту функцию.
   1. Создайте тестового пользователя Microsoft Entra и тестовую группу для тестирования единого входа Microsoft Entra с помощью B.Simon.
   2. Назначьте тестового пользователя Или тестовую группу Microsoft Entra , чтобы разрешить B.Simon использовать единый вход Microsoft Entra.
2. Настройте единый вход MongoDB Atlas , чтобы настроить параметры единого входа на стороне приложения.
   1. Создайте тестового пользователя MongoDB Atlas SSO, чтобы в MongoDB Atlas был создан аналог пользователя B.Simon в SSO, связанный с представлением пользователя в Microsoft Entra.
3. Тестирование единого входа для проверки, работает ли конфигурация.

Конфигурация Единого Входа Microsoft Entra

Выполните следующие действия, чтобы включить Microsoft Entra SSO.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

2. Перейдите на страницу интеграции приложения MongoDB Atlas — SSO с >>, найдите раздел Управление. Выберите единый вход.

3. На странице "Выбор метода единого входа" выберите SAML.

4. На странице "Настройка одного Sign-On с помощью SAML" выберите значок карандаша для базовой конфигурации SAML , чтобы изменить параметры.

   

5. В разделе "Базовая конфигурация SAML", если вы хотите настроить приложение в режиме, инициированном IDP, введите значения для следующих полей.

   a. В текстовом поле "Идентификатор" введите URL-адрес, использующий следующий шаблон: https://www.okta.com/saml2/service-provider/<Customer_Unique>

   б. В текстовом поле "URL-адрес ответа" введите URL-адрес, использующий следующий шаблон: https://auth.mongodb.com/sso/saml2/<Customer_Unique>

6. Выберите "Задать дополнительные URL-адреса" и выполните следующий шаг, если вы хотите настроить приложение в режиме, инициированном поставщиком служб :

   В текстовом поле URL-адреса входа введите URL-адрес, использующий следующий шаблон: https://cloud.mongodb.com/sso/<Customer_Unique>

   Заметка

   Эти значения не являются реальными. Обновите эти значения фактическим идентификатором, URL-адресом ответа и URL-адресом входа. Чтобы получить эти значения, обратитесь в службу поддержки клиентов MongoDB Atlas SSO . Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML ".

7. Приложение MongoDB Atlas для единого входа (SSO) ожидает, что утверждения SAML будут находиться в конкретном формате, что требует добавления пользовательских атрибутов и их сопоставлений в конфигурацию атрибутов токена SAML. На следующем снимка экрана показан список атрибутов по умолчанию.

   

8. В дополнение к предыдущим атрибутам приложение MongoDB Atlas — SSO ожидает, что в ответе SAML будут переданы обратно несколько дополнительных атрибутов. Эти атрибуты также предварительно заполнены, но их можно просмотреть в соответствии с вашими требованиями.

   Имя	Исходный атрибут
   электронная почта	ИмяПользователя.ОсновноеИмяПользователя
   имя	имя пользователя
   фамилия	пользователь.фамилия

9. Если вы хотите авторизовать пользователей с помощью сопоставлений ролей MongoDB Atlas, добавьте следующий запрос группы для передачи информации о группах пользователей в утверждении SAML.

   Имя	Исходный атрибут
   членГруппы	Идентификатор группы

10. На странице "Настройка единого входа с помощью SAML " в разделе "Сертификат подписи SAML " найдите XML метаданных федерации. Выберите "Скачать ", чтобы скачать сертификат и сохранить его на компьютере.

    

11. В разделе "Настройка MongoDB Atlas — единый вход" скопируйте соответствующие URL-адреса в соответствии с вашим требованием.

    

Создание тестового пользователя Microsoft Entra и тестовой группы

В этом разделе описано, как создать тестового пользователя B.Simon.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор пользователя.
2. Перейдите к Entra ID>пользователи.
3. Выберите "Создать пользователя>" в верхней части экрана.
4. В свойствах пользователя выполните следующие действия.
   1. В поле "Отображаемое имя" введите B.Simon.
   2. В поле главного имени пользователя введите username@companydomain.extension. Например, B.Simon@contoso.com.
   3. Установите флажок "Показать пароль" , а затем запишите значение, отображаемое в поле "Пароль ".
   4. Выберите "Рецензирование и создание".
5. Нажмите кнопку "Создать".

Если вы используете функцию сопоставления ролей MongoDB Atlas для назначения ролей пользователям на основе групп Microsoft Entra, создайте тестовую группу и B.Simon в качестве члена:

1. Перейдите к Entra ID>группы.
2. Выберите новую группу в верхней части экрана.
3. В свойствах группы выполните следующие действия.
   1. Выберите "Безопасность" в раскрывающемся списке типа группы .
   2. В поле "Имя группы " введите "Группа 1".
   3. Нажмите кнопку "Создать".

Назначьте тестового пользователя или тестовую группу Microsoft Entra

В этом разделе описано, как разрешить пользователю B.Simon или Group 1 использовать единый вход Azure, предоставив этому пользователю доступ к MongoDB Atlas — SSO.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.
2. Перейдите к Entra ID>Enterprise приложения>MongoDB Atlas - SSO.
3. На странице обзора приложения найдите раздел "Управление " и выберите "Пользователи и группы".
4. Выберите "Добавить пользователя", а затем выберите "Пользователи" и "Группы " в диалоговом окне "Добавить назначение ".
5. В диалоговом окне "Пользователи и группы" выберите B.Simon из списка "Пользователи" или если вы используете сопоставления ролей MongoDB Atlas, выберите группу 1 из списка "Группы"; нажмите кнопку "Выбрать " в нижней части экрана.
6. В диалоговом окне "Добавление назначения" нажмите кнопку "Назначить ".

Настройка SSO для MongoDB Atlas

Чтобы настроить единый вход на стороне MongoDB Atlas, необходимо скопировать соответствующие URL-адреса. Кроме того, необходимо сконфигурировать приложение федерации для организации MongoDB Atlas. Следуйте инструкциям в документации MongoDB Atlas. Если у вас возникли проблемы, обратитесь в службу поддержки MongoDB .

Настройка сопоставления ролей MongoDB Atlas

Чтобы авторизовать пользователей в MongoDB Atlas на основе членства в группе Microsoft Entra, можно сопоставить Object-IDs группы Microsoft Entra с ролями Организации и проекта MongoDB Atlas с помощью сопоставлений ролей MongoDB Atlas. Следуйте инструкциям в документации MongoDB Atlas. Если у вас возникли проблемы, обратитесь в службу поддержки MongoDB .

Создание тестового пользователя MongoDB Atlas SSO

MongoDB Atlas поддерживает создание пользователей в режиме реального времени, что включено по умолчанию. Вам не нужно предпринимать никаких дополнительных действий. Если пользователь еще не существует в MongoDB Atlas, он создается после проверки подлинности.

Тестирование единого входа

В этом разделе вы тестируете вашу конфигурацию единого входа Microsoft Entra с использованием следующих параметров.

Инициировано поставщиком услуг:

• Выберите Проверить это приложение, эта опция перенаправит вас на URL-адрес для входа в MongoDB Atlas, где вы можете начать процесс входа.

• Перейдите непосредственно по URL-адресу для входа в MongoDB Atlas и начните процесс авторизации.

Инициатор IDP:

• Выберите "Тестировать это приложение", и вы автоматически войдете в приложение MongoDB Atlas, для которого настроили единый вход.

Вы также можете использовать Microsoft My Apps для тестирования приложения в любом режиме. При выборе плитки MongoDB Atlas - SSO в разделе "Мои приложения", если вы настроили в режиме SP, вы будете перенаправлены на страницу входа в приложение для инициации процесса входа, а если настроили в режиме IDP (поставщик удостоверений), вы будете автоматически авторизованы в MongoDB Atlas - SSO, для которого вы настроили единый вход. Дополнительные сведения о моих приложениях см. в разделе "Общие сведения о моих приложениях".

Связанное содержимое

После настройки MongoDB Atlas — единый вход можно применить функцию управления сеансами, которая защищает конфиденциальные данные вашей организации от кражи и несанкционированного доступа в режиме реального времени. Контроль сеанса расширяется из условного доступа. Узнайте, как применить управление сеансом с помощью Microsoft Defender для облачных приложений.