更新自托管分片集群到密钥文件身份验证（无中断）

创建管理员用户。

使用db.createUser()方法创建管理员用户，并分配以下角色

• clusterAdmin在admin数据库上

• userAdmin角色在admin数据库上

执行维护操作或对分片集群进行用户管理操作的客户端必须在教程结束时使用此用户进行身份验证。现在创建此用户以确保在实施身份验证后您可以访问集群。

admin = db.getSiblingDB("admin");
admin.createUser(
  {
    user: "admin",
    pwd: "<password>",
    roles: [
      { role: "clusterAdmin", db: "admin" },
      { role: "userAdmin", db: "admin" }
    ]
  }
);

可选：为客户端应用程序创建其他用户。

除了管理员用户外，您可以在实施身份验证之前创建其他用户。这确保了在完全实施身份验证后可以访问分片集群。

db.getSiblingDB("marketing").createUser(
  {
    "user": "joe",
    "pwd": "<password>",
    "roles": [ { "role" : "readWrite", "db" : "marketing" } ]
  }
)

有关 MongoDB 提供的角色的详细信息，请参阅 Database User Roles。

有关添加用户的更多信息，请参阅 Add Users 教程。在添加新用户时，请考虑 安全最佳实践。

可选：更新客户端应用程序以指定身份验证凭据。

尽管分片集群目前不强制执行身份验证，但在连接到分片集群时，您仍然可以更新客户端应用程序以指定身份验证凭据。这可能会防止在教程结束时断开连接。

mongosh  --username "joe" --password "<password>" \
  --authenticationDatabase "marketing" --host mongos1.example.net:27017

创建一个新的 mongos 配置文件。

对于每个 mongos:

1. 复制现有的 mongos 配置文件，并给它一个独特的名称，例如 <filename>-secure.conf（或者在 Windows 上使用 .cfg）。您将使用这个新的配置文件将 mongos 转变为强制在分片集群中执行身份验证。保留原始配置文件以备备份。

2. 在新的配置文件中添加以下设置

   • security.transitionToAuth 设置为 true

   • security.keyFile 设置为密钥文件路径。

     如果使用不同的内部身份验证机制，指定适合该机制的设置。

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

   新的配置文件应包含之前由 mongos 使用的所有配置设置以及新的安全设置。

一次一个，使用新的配置文件重新启动 mongos。

按照重新启动 mongos 实例的步骤进行，一次一个 mongos。

1. 连接到 mongos 以关闭。

2. 使用 db.shutdownServer() 方法针对 admin 数据库安全关闭 mongos。

   db.getSiblingDB("admin").shutdownServer()

3. 使用新的配置文件重启 mongos，使用 --config 指定配置文件的路径。例如，如果新的配置文件名为 mongos-secure.conf

   mongos --config <path>/mongos-secure.conf

   其中 <path> 代表包含新配置文件的文件夹的系统路径。

对下一个 mongos 实例重复重启过程，直到分片集群中的所有 mongos 实例都已重启。

创建一个新的 mongod 配置文件。

对于配置服务器副本集中的每个 mongod，

1. 复制现有的 mongod 配置文件，给它一个独特的名称，例如 <filename>-secure.conf（或在 Windows 上使用 .cfg）。您将使用这个新的配置文件将 mongod 转换为在分片集群中强制执行身份验证。保留原始配置文件以备备份。

2. 在新的配置文件中添加以下设置

   • security.transitionToAuth 设置为 true

   • security.keyFile 设置为密钥文件路径。

     如果使用不同的内部身份验证机制，指定适合该机制的设置。

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

逐个重启 mongod，使用新的配置文件。

逐个重启副本集，从 次要 成员开始。

1. 要逐个重启 次要 成员，

   1. 连接到 mongod 并在 admin 数据库上使用 db.shutdownServer() 方法安全关闭 mongod。

      db.getSiblingDB("admin").shutdownServer()

   2. 使用新的配置文件重启 mongod，指定配置文件的路径使用 --config。例如，如果新配置文件名为 mongod-secure.conf

      mongod --config <path>/mongod-secure.conf

      其中 <path> 代表包含新配置文件的文件夹的系统路径。

   当此成员启动后，对下一个 次要 成员重复操作。

2. 一旦所有 次要 成员都已重启并启动，重启主节点

   1. 连接到 mongod。

   2. 使用 rs.stepDown() 方法使主节点降级并触发选举。

      rs.stepDown()

      您可以使用 rs.status() 方法确保副本集已选举出新的主节点。

   3. 一旦您使主节点降级并已选出新的主节点，使用 db.shutdownServer() 方法在 admin 数据库上关闭旧的主节点。

      db.getSiblingDB("admin").shutdownServer()

   4. 使用新的配置文件重启 mongod，指定配置文件的路径使用 --config。例如，如果新配置文件名为 mongod-secure.conf

      mongod --config <path>/mongod-secure.conf

      其中 <path> 代表包含新配置文件的文件夹的系统路径。

从mongos配置文件中删除transitionToAuth设置

从本教程创建的mongos配置文件中删除security.transitionToAuth键及其值。保留教程中添加的security.keyFile设置。

security:
   keyFile: <path-to-keyfile>

使用更新后的配置文件重启 mongos。

按照以下步骤重启 mongos 实例，每次重启一个

1. 连接到 mongos 以关闭。

2. 使用 db.shutdownServer() 方法针对 admin 数据库安全关闭 mongos。

   db.getSiblingDB("admin").shutdownServer()

3. 使用更新后的配置文件重启 mongos，使用 --config 选项指定配置文件路径。例如，如果更新后的配置文件名为 mongos-secure.conf

   mongos --config <path>/mongos-secure.conf

从 mongod 配置文件中移除 transitionToAuth。

从本教程中创建的配置服务器配置文件中移除 security.transitionToAuth 键及其值。保留教程中添加的 security.keyFile 设置。

security:
   keyFile: <path-to-keyfile>

一次一个，使用更新后的配置文件重新启动 mongod。

逐个重启副本集，从 次要 成员开始。

1. 要逐个重启 次要 成员，

   1. 连接到 mongod 并在 admin 数据库上使用 db.shutdownServer() 方法安全关闭 mongod。

      db.getSiblingDB("admin").shutdownServer()

   2. 使用更新后的配置文件重新启动 mongod，指定配置文件路径使用 --config。例如，如果新的配置文件名为 mongod-secure.conf

      mongod --config <path>/mongod-secure.conf

      其中 <path> 代表包含更新配置文件的文件夹的系统路径。

   当此成员启动后，对下一个 次要 成员重复操作。

2. 一旦所有 次要 成员都已重启并启动，重启主节点

   1. 连接到 mongod。

   2. 使用 rs.stepDown() 方法使主节点降级并触发选举。

      rs.stepDown()

      您可以使用 rs.status() 方法确保副本集已选举出新的主节点。

   3. 一旦您使主节点降级并已选出新的主节点，使用 db.shutdownServer() 方法在 admin 数据库上关闭旧的主节点。

      db.getSiblingDB("admin").shutdownServer()

   4. 使用更新后的配置文件重新启动 mongod，指定配置文件路径使用 --config。例如，如果新的配置文件名为 mongod-secure.conf

      mongod --config <path>/mongod-secure.conf

      其中 <path> 代表包含更新配置文件的文件夹的系统路径。

从 mongod 配置文件中删除 transitionToAuth。

从本教程中创建的配置服务器配置文件中移除 security.transitionToAuth 键及其值。保留教程中添加的 security.keyFile 设置。

security:
   keyFile: <path-to-keyfile>

一次一个地，使用更新后的配置文件重启 mongod。

逐个重启副本集，从 次要 成员开始。

1. 要逐个重启 次要 成员，

   1. 连接到 mongod 并在 admin 数据库上使用 db.shutdownServer() 方法安全关闭 mongod。

      db.getSiblingDB("admin").shutdownServer()

   2. 使用更新后的配置文件重新启动 mongod，指定配置文件路径使用 --config。例如，如果新的配置文件名为 mongod-secure.conf

      mongod --config <path>/mongod-secure.conf

      其中 <path> 代表包含更新配置文件的文件夹的系统路径。

   当此成员启动后，对下一个 次要 成员重复操作。

2. 一旦所有 次要 成员都已重启并启动，重启主节点

   1. 连接到 mongod。

   2. 使用 rs.stepDown() 方法使主节点降级并触发选举。

      rs.stepDown()

      您可以使用 rs.status() 方法确保副本集已选举出新的主节点。

   3. 一旦您使主节点降级并已选出新的主节点，使用 db.shutdownServer() 方法在 admin 数据库上关闭旧的主节点。

      db.getSiblingDB("admin").shutdownServer()

   4. 使用更新后的配置文件重新启动 mongod，指定配置文件路径使用 --config。例如，如果新的配置文件名为 mongod-secure.conf

      mongod --config <path>/mongod-secure.conf

      其中 <path> 代表包含更新配置文件的文件夹的系统路径。