使用密钥文件身份验证部署自托管复制集

创建一个密钥文件。

在密钥文件认证方式下，副本集中的每个 mongod 实例将密钥文件的内容用作共享密码，以认证部署中的其他成员。只有具有正确密钥文件的 mongod 实例才能加入副本集。

密钥长度必须在 6 到 1024 个字符之间，并且只能包含 base64 集中的字符。副本集的所有成员必须至少共享一个公共密钥。

您可以使用任何选择的方法来生成密钥文件。例如，以下操作使用 openssl 生成一个复杂的伪随机 1024 字符字符串，用作共享密码。然后使用 chmod 更改文件权限，只为文件所有者提供读取权限

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的详细信息和要求，请参阅密钥文件。

将密钥文件复制到每个副本集成员。

将密钥文件复制到托管副本集成员的每个服务器。确保运行 mongod 实例的用户是该文件的拥有者并且可以访问密钥文件。

避免将密钥文件存储在可以轻易从托管 mongod 实例的硬件上断开的存储介质上，例如USB驱动器或网络附加存储设备。

以启用访问控制的方式启动副本集的每个成员。

对于副本集中的每个成员，使用 mongod 的 security.keyFile 配置文件设置或 --keyFile 命令行选项启动。使用 --keyFile 命令行选项或 security.keyFile 配置文件设置运行 mongod 强制执行 自我管理内部/成员身份验证 和 自我管理部署中的基于角色的访问控制。

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
net:
   bindIp: localhost,<hostname(s)|ip address(es)>

使用配置文件启动 mongod

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅 配置选项。

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

通过本地主机接口连接到副本集成员。

将 mongosh 连接到本地主机接口上的任意一个 mongod 实例。您必须在与 mongod 实例相同的物理机器上运行 mongosh。

本地主机接口仅在部署中未创建用户时才可用。创建第一个用户后，本地主机接口将关闭。

初始化副本集。

在 mongosh 中，运行 rs.initiate() 方法。

rs.initiate() 可以接受一个可选的 副本集配置文档。在 副本集配置文档 中，包括

• 将 _id 字段设置为在 replication.replSetName 或 --replSet 选项中指定的副本集名称。

• 包含每个副本集成员的文档的 members 数组。

以下示例初始化一个包含三个成员的副本集。

rs.initiate(
  {
    _id : "myReplSet",
    members: [
      { _id : 0, host : "mongo1.example.net:27017" },
      { _id : 1, host : "mongo2.example.net:27017" },
      { _id : 2, host : "mongo3.example.net:27017" }
    ]
  }
)

rs.initiate() 触发一次 选举 并从成员中选出一个作为 主节点。

在继续之前连接到主节点。使用 rs.status() 定位主节点成员。

创建管理员用户。

使用 db.createUser() 方法添加用户。用户应至少在 admin 数据库上拥有 userAdminAnyDatabase 角色。

您必须连接到 主节点 才能创建用户。

以下示例创建名为 fred 的用户，并在 admin 数据库上赋予其 userAdminAnyDatabase 角色。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

当提示输入密码时输入密码。有关与数据库管理操作相关的内置角色的完整列表，请参阅 数据库用户角色。

以用户管理员身份进行身份验证。

对 admin 数据库进行身份验证。

在 mongosh 中，使用 db.auth() 进行身份验证。例如，以下以用户管理员 fred 进行身份验证：

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

或者，使用 -u <username>、-p <password> 和 --authenticationDatabase 参数将新的 mongosh 实例连接到主复制集成员。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果您没有指定 -p 命令行选项，mongosh 将提示您输入密码。

创建集群管理员。

clusterAdmin 角色授予对复制操作（如配置复制集）的访问权限。

在 admin 数据库中创建集群管理员用户并分配 clusterAdmin 角色。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

当提示时输入密码。

请参阅集群管理角色以获取与副本集和分片集群操作相关的内置角色的完整列表。

创建额外用户（可选）。

创建用户，以便客户端可以连接并与副本集交互。有关创建只读和读写用户的基本内置角色，请参阅数据库用户角色。

您可能还需要额外的管理用户。有关用户的信息，请参阅自管理部署中的用户。