将自托管副本集更新为密钥文件身份验证

创建密钥文件。

使用密钥文件身份验证，副本集中的每个mongod实例使用密钥文件的内容作为共享密码来验证部署中的其他成员。只有具有正确密钥文件的mongod实例才能加入副本集。

密钥长度必须在 6 到 1024 个字符之间，且只能包含 base64 集中的字符。副本集的所有成员必须共享至少一个共同密钥。

您可以使用任何您选择的方法生成密钥文件。例如，以下操作使用 openssl 生成一个复杂的伪随机 1024 个字符字符串，用作共享密码。然后使用 chmod 修改文件权限，仅允许文件所有者读取文件

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的详细信息和要求，请参阅 密钥文件。

将密钥文件复制到每个副本集成员。

将密钥文件复制到托管副本集成员的服务器。确保运行 mongod 实例的用户是该文件的所有者并可以访问密钥文件。

请避免将密钥文件存储在可以轻松从托管 mongod 实例的硬件断开连接的存储介质上，例如 USB 驱动器或网络附加存储设备。

关闭副本集的所有成员。

从副本集中的次要节点开始，关闭每个mongod。继续直到所有副本集成员都离线，包括任何仲裁者。必须先关闭主节点，以避免潜在的回滚。

要关闭mongod，使用mongosh连接到每个mongod，并在admin数据库上运行db.shutdownServer()

use admin
db.shutdownServer()

此步骤结束时，所有副本集成员应该都处于离线状态。

使用强制访问控制重新启动副本集的每个成员。

使用security.keyFile配置文件设置或--keyFile命令行选项重新启动副本集中的每个mongod。使用--keyFile命令行选项或security.keyFile配置文件设置运行mongod将强制执行自我管理内部/成员身份验证以及自我管理部署中的基于角色的访问控制。

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
net:
   bindIp: localhost,<hostname(s)|ip address(es)>

使用配置文件启动 mongod

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅 配置选项。

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

使用本地主机接口连接到主节点。

将 mongosh 连接到 mongod 实例之一，通过 localhost 接口。您必须在与 mongod 实例相同的物理机上运行 mongosh。

使用 rs.status() 来识别 主节点 的副本集成员。如果您连接到了主节点，请继续下一步。如果没有，请通过 localhost 接口 将 mongosh 连接到主节点。

创建用户管理员。

使用 db.createUser() 方法添加用户。该用户应在 admin 数据库上至少具有 userAdminAnyDatabase 角色。

您必须连接到 主节点 才能创建用户。

以下示例在admin数据库上创建具有userAdminAnyDatabase角色的用户fred。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

当提示时输入密码。有关与数据库管理操作相关的所有内置角色的完整列表，请参阅数据库用户角色。

以用户管理员的身份进行认证。

认证到admin数据库。

在mongosh中，使用db.auth()进行认证。例如，以下以用户管理员fred进行认证：

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

或者，使用-u <username>、-p <password>和--authenticationDatabase参数连接一个新的mongosh实例到主副本集成员。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果您没有指定命令行选项-p的密码，mongosh会提示您输入密码。

创建集群管理员（可选）。

集群管理员用户拥有 clusterAdmin 角色，该角色授予了对复制操作的访问权限。

在 admin 数据库中创建集群管理员用户并分配 clusterAdmin 角色。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

按提示输入密码。

有关与副本集操作相关的所有内置角色的完整列表，请参阅 集群管理角色。

创建其他用户（可选）。

创建用户以允许客户端连接并交互副本集。有关创建只读和读写用户的基本内置角色，请参阅 数据库用户角色。

您可能还需要其他管理用户。有关用户的信息，请参阅 自管理部署中的用户。