将自托管分片集群更新到密钥文件认证

创建一个密钥文件。

使用密钥文件认证，分片集群中的每个 mongod 或 mongos 实例都将密钥文件的内容作为共享密码来验证集群中的其他成员。只有具有正确密钥文件的 mongod 或 mongos 实例才能加入分片集群。

密钥长度必须在 6 到 1024 个字符之间，并且只能包含 base64 集中的字符。分片集群的所有成员必须共享至少一个共同密钥。

您可以使用任何您选择的方法生成密钥文件。例如，以下操作使用 openssl 生成一个复杂的伪随机 1024 字符串，用作共享密码。然后使用 chmod 将文件权限更改为只为文件所有者提供读权限

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的详细信息和要求，请参阅 密钥文件。

将密钥文件复制到分片集群中的每个组件。

每个托管 mongod 或 mongos 组件的碎片化集群的服务器都必须包含一个密钥文件的副本。

将密钥文件复制到每个托管碎片化集群成员的服务器。确保运行 mongod 或 mongos 实例的用户是该文件的拥有者并且可以访问密钥文件。

避免在可以轻易从托管 mongod 或 mongos 实例的硬件上断开的存储介质上存储密钥文件，例如U盘或网络附加存储设备。

禁用均衡器。

将 mongosh 连接到一个 mongos。

sh.stopBalancer()

如果正在进行迁移，均衡器可能不会立即停止。使用 sh.stopBalancer() 方法将阻止shell直到均衡器停止。

从MongoDB 6.0.3开始，不再执行自动分块分割。这是因为平衡策略的改进。自动分割命令仍然存在，但不执行操作。

在MongoDB 6.0.3之前的版本中，sh.stopBalancer() 还会禁用碎片化集群的自动分割。

使用 sh.getBalancerState() 验证均衡器是否已停止。

sh.getBalancerState()

有关配置碎片化集群均衡器行为的教程，请参阅 管理碎片化集群均衡器。

关闭分片集群中所有 mongos 实例。

连接 mongosh 到每个 mongos 并关闭它们。

使用 db.shutdownServer() 方法在 admin 数据库上安全关闭 mongos：

db.getSiblingDB("admin").shutdownServer()

重复操作，直到集群中所有 mongos 实例都离线。

完成此步骤后，集群中所有 mongos 实例都应离线。

关闭配置服务器 mongod 实例。

连接 mongosh 到配置服务器部署中的每个 mongod 并关闭它们。

对于复制集配置服务器部署，最后关闭主成员。

使用 db.shutdownServer() 方法在 admin 数据库上安全关闭 mongod：

db.getSiblingDB("admin").shutdownServer()

重复操作，直到所有配置服务器都离线。

关闭分片副本集 mongod 实例。

对于每个分片副本集，连接 mongosh 到副本集中的每个 mongod 成员并关闭它们。最后关闭 主 成员。

使用 db.shutdownServer() 方法在 admin 数据库上安全关闭 mongod：

db.getSiblingDB("admin").shutdownServer()

对每个分片副本集重复此步骤，直到所有分片副本集中的 mongod 实例都离线。

完成此步骤后，整个分片集群应离线。

在配置服务器上强制执行访问控制。

启动配置服务器副本集中的 每个 mongod。包括 keyFile 设置。该 keyFile 设置强制执行 自我管理内部/成员身份验证 和 自我管理部署中的基于角色的访问控制。

您可以通过配置文件或命令行指定 mongod 设置。

配置文件

如果使用配置文件，对于配置服务器副本集，将 配置文件 中的 security.keyFile 设置为密钥文件的路径，将 sharding.clusterRole 设置为 configsvr，并将 replication.replSetName 设置为配置服务器副本集的名称。

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: configsvr
replication:
  replSetName: <setname>
storage:
   dbpath: <path>

根据需要包含额外的配置选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 net.bindIp 设置。

通过指定 --config 选项和配置文件路径来启动 mongod。

mongod --config <path-to-config>

命令行

如果使用命令行参数，对于配置服务器副本集，使用 -keyFile、--configsvr 和 --replSet 参数启动 mongod。

mongod --keyFile <path-to-keyfile> --configsvr --replSet <setname> --dbpath <path>

根据需要包含额外的配置选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 --bind_ip。

有关命令行选项的更多信息，请参阅 mongod 参考页面。

在重新启动每个成员时，请确保使用原始的副本集名称。您不能更改副本集的名称。

强制对分片集群中的每个分片执行访问控制。

使用带有 keyFile 参数的 mongod 强制执行 自管理内部/成员身份验证 和 自管理部署中的基于角色的访问控制。

使用配置文件或命令行启动副本集中的每个 mongod。

配置文件

如果使用配置文件，将 配置文件 中的 security.keyFile 选项设置为密钥文件的路径，并将 replication.replSetName 选项设置为 原始 副本集名称。

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <setname>
storage:
   dbPath: <path>

根据需要包含额外的配置选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 net.bindIp 设置。

通过指定 --config 选项和配置文件路径来启动 mongod。

mongod --config <path-to-config-file>

命令行

如果使用命令行参数，启动 mongod 并指定 --keyFile 和 --replSet 参数。

mongod --keyfile <path-to-keyfile> --replSet <setname> --dbpath <path>

根据需要包含额外的配置选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 --bind_ip。

有关启动参数的更多信息，请参阅 mongod 参考页面。

在重新启动每个成员时，请确保使用原始的副本集名称。您不能更改副本集的名称。

重复此步骤，直到集群中所有分片都上线。

创建一个分片本地用户管理员（可选）。

对于集群中的每个分片副本集，通过 mongosh 连接到 主节点 的 localhost 接口。您必须在与目标 mongod 相同的机器上运行 mongosh 以使用 localhost 接口。

在 admin 数据库上创建一个具有 userAdminAnyDatabase 角色的用户。此用户可以根据需要为分片副本集创建其他用户。创建此用户还会关闭自托管部署中的 Localhost 异常。

以下示例在admin数据库上创建了分片本地用户fred。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(),  // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

为mongos服务器强制执行访问控制。

使用带有 keyFile 参数的 mongod 强制执行 自管理内部/成员身份验证 和 自管理部署中的基于角色的访问控制。

使用配置文件或命令行启动副本集中的每个mongos。

配置文件

如果使用配置文件，请将security.keyFile设置为密钥文件的路径，并将sharding.configDB设置为副本集名称以及至少一个副本集成员的路径，格式为<replSetName>/<host:port>。

security:
  keyFile: <path-to-keyfile>
sharding:
  configDB: <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

根据需要包含额外的配置选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 net.bindIp 设置。

指定--config选项和配置文件路径来启动mongos。

mongos --config <path-to-config-file>

命令行

如果使用命令行参数，请指定--keyFile和--configdb参数来启动mongos。

mongos --keyFile <path-to-keyfile> --configdb <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

根据需要包含额外的配置选项。例如，如果您希望远程客户端连接到您的部署或您的部署成员运行在不同的主机上，请指定 --bind_ip。

到此为止，整个分片集群已重新上线，并可以使用指定的密钥文件进行内部通信。然而，外部程序如mongosh需要使用正确配置的用户才能读取或写入集群。

通过本地主机接口连接到 mongos 实例。

将 mongosh 连接到 mongos 实例之一，通过 本地主机接口。您必须在与 mongos 实例相同的物理机器上运行 mongosh。

本地主机接口仅在部署中没有创建用户时才可用。在创建第一个用户后，本地主机接口将关闭。

创建管理员用户。

使用 db.createUser() 方法添加用户。用户至少应该在 admin 数据库上具有 userAdminAnyDatabase 角色。

以下示例在 admin 数据库中创建用户 fred：

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd:  passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

有关内置角色及其与数据库管理操作相关的完整列表，请参阅 数据库用户角色。

以用户管理员身份进行身份验证。

使用 db.auth() 以用户管理员身份进行身份验证以创建其他用户

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

按提示输入密码。

或者，使用 -u <username>、-p <password> 和 --authenticationDatabase "admin" 参数连接到目标副本集成员的新 mongosh 会话。您必须使用 Localhost Exception in Self-Managed Deployments 来连接到 mongos。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果您没有在 -p 命令行选项中指定密码，mongosh 会提示您输入密码。

为集群管理创建管理用户

集群管理员用户拥有分片集群的 clusterAdmin 角色，而不是分片本地集群管理员。

以下示例在 admin 数据库上创建用户 ravi。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

有关与副本集和分片集群操作相关的内置角色的完整列表，请参阅 Cluster Administration Roles。

以集群管理员身份进行身份验证。

要执行分片操作，请使用以下方法之一以 clusterAdmin 用户身份进行身份验证：db.auth() 方法或带有 username、password 和 authenticationDatabase 参数的新 mongosh 会话。

启动均衡器。

启动均衡器。

sh.startBalancer()

从MongoDB 6.0.3开始，不再执行自动分块分割。这是因为平衡策略的改进。自动分割命令仍然存在，但不执行操作。

在 MongoDB 6.0.3 之前的版本中，sh.startBalancer() 还会为分片集群启用自动拆分。

使用 sh.getBalancerState() 验证均衡器是否已启动。

有关分片集群均衡器的教程，请参阅 管理分片集群均衡器。

创建额外的用户（可选）。

创建用户以便客户端可以连接并访问分片集群。有关可用的内置角色，例如 数据库用户角色，请参阅 read 和 readWrite。您可能还需要额外的管理员用户。有关用户的信息，请参阅 自管理部署中的用户。

要创建额外的用户，您必须以具有 userAdminAnyDatabase 或 userAdmin 角色的用户身份进行认证。