mongos

核心选项

--help, -h

返回有关 mongos 选项及其使用的详细信息。

--version

返回 mongos 的版本号。

--config <filename>, -f <filename>

指定运行时配置选项的配置文件。配置文件是配置 mongos 的首选方法。这些选项等同于命令行配置选项。有关更多信息，请参阅自管理配置文件选项。

确保配置文件使用 ASCII 编码。mongos 实例不支持使用非 ASCII 编码的配置文件，包括 UTF-8。

--configExpand <none|rest|exec>

默认值: none

启用配置文件中使用展开指令。展开指令允许您为配置文件选项设置外部源值。

--configExpand 支持以下展开指令

值	描述
none	默认。 mongos 不展开展开指令。如果任何配置文件设置使用展开指令，mongos 启动失败。
rest	mongos 在解析配置文件时展开 __rest 展开指令。
exec	当解析配置文件时，mongos 会展开 __exec 扩展指令。

您可以将多个扩展指令指定为逗号分隔的列表，例如： rest, exec。如果配置文件包含未在 --configExpand 中指定的扩展指令，则 mongos 将返回错误并终止。

有关扩展指令的更多信息，请参阅 自托管部署的外部配置文件值。

--verbose, -v

增加在标准输出或日志文件中返回的内部报告的数量。通过多次包含选项来增加详细程度，例如： -vvvvv。

--quiet

以静默模式运行 mongos，尝试限制输出量。

此选项抑制

• 数据库命令 的输出

• 复制活动

• 连接接受事件

• 连接关闭事件

--port <端口号>

默认值: 27017

mongos 实例监听客户端连接的 TCP 端口号。

--port 选项接受从 0 到 65535 的值范围。将端口设置为 0 将使 mongos 使用操作系统分配的任意端口。

--bind_ip <主机名|IP地址|Unix域套接字路径>

默认值: localhost

在 mongos 应该监听客户端连接的主机名、IP 地址和/或完整的 Unix 域套接字路径。您可以连接到任何接口。要绑定到多个地址，请输入以逗号分隔的值列表。

示例

localhost,/tmp/mongod.sock

您可以指定 IPv4 和 IPv6 地址，或者解析为 IPv4 或 IPv6 地址的主机名。

示例

localhost, 2001:0DB8:e132:ba26:0d5c:2774:e7f9:d513

注意

如果指定 IPv6 地址 或 解析为 IPv6 地址的主机名到 --bind_ip，您必须使用 --ipv6 启用 IPv6 支持。指定 IPv6 地址到 --bind_ip 不会启用 IPv6 支持。

如果指定了一个链路本地IPv6地址（如fe80::/10），则必须将区域索引附加到该地址（即fe80::<address>%<adapter-name>）。

示例

localhost,fe80::a00:27ff:fee0:1fcf%enp0s3

重要

为了避免由于IP地址更改导致的配置更新，请使用DNS主机名而不是IP地址。当配置副本集成员或分片集群成员时，使用DNS主机名而不是IP地址尤为重要。

要配置跨越分裂网络视界的集群，请使用主机名而不是IP地址。从MongoDB 5.0版本开始，仅配置了IP地址的节点将失败启动验证，并且不会启动。

警告

在将实例绑定到公开可访问的IP地址之前，您必须确保您的集群免受未经授权的访问。有关安全建议的完整列表，请参阅自托管部署安全清单。至少，请考虑启用身份验证和强化网络基础设施。

有关IP绑定的更多信息，请参阅自托管部署中的IP绑定文档。

要绑定到所有IPv4地址，请输入0.0.0.0。

要绑定到所有IPv4和IPv6地址，请输入 ::,0.0.0.0 或星号 "*"（将星号放在引号内以避免文件名模式扩展）。或者，使用 net.bindIpAll 设置。

注意

• --bind_ip 和 --bind_ip_all 是互斥的。指定这两个选项会导致 mongos 抛出错误并终止。

• 命令行选项 --bind 覆盖了配置文件设置 net.bindIp。

--bind_ip_all

如果指定了，mongos 实例将绑定到所有IPv4地址（即 0.0.0.0）。如果 mongos 以 --ipv6 启动，则 --bind_ip_all 也会绑定到所有IPv6地址（即 ::）。

mongos 仅在以 --ipv6 启动时支持IPv6。仅指定 --bind_ip_all 不能启用IPv6支持。

警告

在将实例绑定到公开可访问的IP地址之前，您必须确保您的集群免受未经授权的访问。有关安全建议的完整列表，请参阅自托管部署安全清单。至少，请考虑启用身份验证和强化网络基础设施。

有关IP绑定的更多信息，请参阅自托管部署中的IP绑定文档。

或者，您可以将 --bind_ip 选项设置为 ::,0.0.0.0 或星号 "*"（将星号放在引号内以避免文件名模式扩展）。

注意

--bind_ip 和 --bind_ip_all 是互斥的。也就是说，您可以指定其中一个，但不能同时指定两个。

--listenBacklog <number>

默认：目标系统 SOMAXCONN 常量

监听队列中可以存在的最大连接数。

警告

在使用此参数之前，请咨询您当地系统的文档，了解限制和配置要求。

重要

为防止未定义的行为，请为此参数指定一个介于 1 和当地系统 SOMAXCONN 常量之间的值。

listenBacklog 参数的默认值在编译时设置为目标系统 SOMAXCONN 常量。SOMAXCONN 是 listen 系统调用 backlog 参数记录的最大有效值。

某些系统可能将 SOMAXCONN 符号化解释，而另一些系统则数值化解释。实际应用的 listen backlog 可能与 SOMAXCONN 常量或 --listenBacklog 参数的数值解释不同，也可能受到系统设置（如 Linux 上的 net.core.somaxconn）的限制。

将 listenBacklog 参数的值传递超过当地系统 SOMAXCONN 常量，按照标准规定是未定义的行为。更高的值可能会被静默地截断为整数，可能会被忽略，可能会导致意外的资源消耗，或者有其他不良后果。

对于具有连接峰值的工作负载的系统，已知当地系统可以接受比 SOMAXCONN 常量更高的 backlog 参数值，将 listenBacklog 参数设置为更高的值可能会减少客户端观察到的操作延迟，通过减少被强制进入回退状态的连接数量。

--maxConns <number>

mongos 接受的最大同时连接数。如果此值高于您的操作系统配置的最大连接跟踪阈值，则此设置将不起作用。

不要为此选项分配过低的值，否则您将在正常应用操作期间遇到错误。

如果您有一个创建多个连接并允许它们超时而不是关闭它们的客户端，这对于 mongos 特别有用。

在这种情况下，将 maxIncomingConnections 设置为一个略高于客户端创建的最大连接数或连接池最大大小的值。

此设置可以防止 mongos 在单个 分片 上造成连接峰值。这样的峰值可能会干扰 分片集群 的运行和内存分配。

分片集群选项

--configdb <replicasetName>/<config1>,<config2>...

指定分片集群的配置服务器。

分片集群的配置服务器作为副本集部署。副本集配置服务器必须运行WiredTiger存储引擎。

指定配置服务器副本集的名称以及配置服务器副本集成员的主机名和端口号。

sharding:
  configDB: <configReplSetName>/cfg1.example.net:27019, cfg2.example.net:27019,...

分片集群的mongos实例必须指定相同的配置服务器副本集名称，但可以指定副本集不同成员的主机名和端口号。

--localThreshold

默认值: 15

指定 mongos 用于确定将哪些从客户端读取操作传递给辅助副本集成员的 ping 时间（以毫秒为单位）。默认值 15 对应于客户端驱动程序中的默认值。

当 mongos 收到允许从 辅助 成员读取的请求时，它

• 找到具有最低 ping 时间的集合成员。

• 构建一个列表，其中包含距离集合最近合适成员 ping 时间为 15 毫秒的副本集成员。

  如果您指定了 --localThreshold 选项的值，mongos 将构建一个列表，其中包含在此延迟允许范围内的副本集成员。

• 从这个列表中随机选择一个成员进行读取。

与 --localThreshold 设置比较的成员的 ping 时间是最近 ping 时间的移动平均值，最多每 10 秒计算一次。因此，某些查询可能达到阈值以上的成员，直到 mongos 重新计算平均值。

有关更多信息，请参阅 副本集的读取偏好 部分的 读取偏好 文档。

TLS 选项

--tlsMode <模式>

启用所有网络连接使用的TLS。`--tlsMode`选项的参数可以是以下之一

值	描述
禁用	服务器不使用TLS。
允许TLS	服务器之间的连接不使用TLS。对于传入连接，服务器接受TLS和非TLS连接。
偏好TLS	服务器之间的连接使用TLS。对于传入连接，服务器接受TLS和非TLS连接。
要求TLS	服务器仅使用和接受TLS加密连接。

如果未指定`--tlsCAFile`或`tls.CAFile`，并且未使用x.509身份验证，您必须将`tlsUseSystemCA`参数设置为`true`。这使MongoDB在连接到启用TLS的服务器时使用系统范围的CA证书存储。

如果您使用x.509身份验证，必须指定`--tlsCAFile`或`tls.CAFile`，除非使用`--tlsCertificateSelector`。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsCertificateKeyFile <文件名>

注意

在macOS或Windows上，您可以使用操作系统的安全存储中的证书而不是指定PEM文件。请参阅--tlsCertificateSelector。

指定包含TLS证书和私钥的.pem文件。

• 在Linux/BSD上，启用TLS时，您必须指定--tlsCertificateKeyFile。

• 在Windows或macOS上，启用TLS时，您必须指定 --tlsCertificateKeyFile 或 --tlsCertificateSelector。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsCertificateKeyFilePassword <value>

指定解密证书密钥文件（即 --tlsCertificateKeyFile）的密码。只有当证书密钥文件被加密时，才使用 --tlsCertificateKeyFilePassword 选项。在任何情况下，mongos 都会将密码从所有日志和报告输出中删除。

• 在Linux/BSD上，如果PEM文件中的私钥被加密且您未指定 --tlsCertificateKeyFilePassword 选项，MongoDB 将提示输入密码。请参阅 TLS/SSL 证书密码。

• 在macOS或Windows上，如果PEM文件中的私钥被加密，您必须明确指定 --tlsCertificateKeyFilePassword 选项。或者，您可以使用来自安全系统存储的证书（见 --tlsCertificateSelector）而不是PEM文件，或者使用未加密的PEM文件。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--clusterAuthMode <option>

默认：keyFile

集群认证所使用的认证模式。如果您使用内部 x.509 认证，请在此处指定。此选项可以有以下值之一

值	描述
keyFile	使用密钥文件进行认证。仅接受密钥文件。
sendKeyFile	用于滚动升级。发送密钥文件进行认证，但可以接受密钥文件和 x.509 证书。
sendX509	用于滚动升级。发送 x.509 证书进行认证，但可以接受密钥文件和 x.509 证书。
x509	推荐。发送 x.509 证书进行认证，仅接受 x.509 证书。

如果未指定`--tlsCAFile`或`tls.CAFile`，并且未使用x.509身份验证，您必须将`tlsUseSystemCA`参数设置为`true`。这使MongoDB在连接到启用TLS的服务器时使用系统范围的CA证书存储。

如果您使用x.509身份验证，必须指定`--tlsCAFile`或`tls.CAFile`，除非使用`--tlsCertificateSelector`。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsClusterFile <filename>

注意

在 macOS 或 Windows 上，您可以使用操作系统的安全存储中的证书，而不是 PEM 文件。请参阅--tlsClusterCertificateSelector。

指定包含集群或副本集成员认证的 x.509 证书-密钥文件的 .pem 文件。

如果--tlsClusterFile没有指定内部集群认证的 .pem 文件或替代的--tlsClusterCertificateSelector，则集群使用--tlsCertificateKeyFile选项中指定的 .pem 文件或--tlsCertificateSelector返回的证书。

如果您使用x.509身份验证，必须指定`--tlsCAFile`或`tls.CAFile`，除非使用`--tlsCertificateSelector`。

mongod / mongos在连接时如果提供的 x.509 证书在 30 天内过期，将记录一条警告信息。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsClusterPassword <value>

指定用于解密使用 --tlsClusterFile 指定的 x.509 证书密钥文件的密码。只有在证书密钥文件被加密时才使用 --tlsClusterPassword 选项。在所有情况下，mongos 将从所有日志和报告输出中擦除密码。

• 在 Linux/BSD 上，如果 x.509 文件中的私钥被加密且未指定 --tlsClusterPassword 选项，MongoDB 会提示输入密钥短语。请参阅 TLS/SSL 证书密钥短语。

• 在 macOS 或 Windows 上，如果 x.509 文件中的私钥被加密，则必须明确指定 --tlsClusterPassword 选项。或者，您可以使用来自安全系统存储的证书（请参阅 --tlsClusterCertificateSelector）而不是集群 PEM 文件，或者使用未加密的 PEM 文件。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsCAFile <filename>

指定包含证书颁发机构根证书链的 .pem 文件。使用相对或绝对路径指定 .pem 文件名。

在 macOS 或 Windows 上，您可以使用操作系统的安全存储中的证书而不是 PEM 密钥文件。请参阅 --tlsCertificateSelector。当使用安全存储时，您不需要，但也可以指定 --tlsCAFile。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsClusterCAFile <filename>

指定包含用于验证客户端建立连接时提交的证书的证书颁发机构（CA）根证书链的 .pem 文件。使用相对路径或绝对路径指定 .pem 文件名。

如果未指定 --tlsClusterCAFile 以验证客户端建立连接时提交的证书，则集群使用 --tlsCAFile 选项中指定的 .pem 文件。

--tlsClusterCAFile 允许您使用不同的证书颁发机构来验证 TLS 握手的客户端到服务器和服务器到客户端部分。

在 macOS 或 Windows 上，您可以使用操作系统安全存储库中的证书而不是 PEM 密钥文件。请参阅 --tlsClusterCertificateSelector。当使用安全存储库时，您不需要，但可以指定 --tlsClusterCAFile。

需要设置 --tlsCAFile。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsCertificateSelector <parameter>=<value>

注意

在 Windows 和 macOS 上可用，作为 --tlsCertificateKeyFile 的替代方案。

选项 --tlsCertificateKeyFile 和 --tlsCertificateSelector 是互斥的。您只能指定其中一个。

指定一个证书属性以从操作系统的证书存储中选取匹配的证书。

--tlsCertificateSelector 接受格式为 <属性>=<值> 的参数，其中属性可以是以下之一：

属性	值类型	描述
subject	ASCII 字符串	证书上的主题名称或常用名称
thumbprint	十六进制字符串	由十六进制表示的字节序列，用于通过其 SHA-1 摘要标识公钥。 “thumbprint”有时被称为“fingerprint”。

当使用系统 SSL 证书存储时，OCSP（在线证书状态协议）用于验证证书的撤销状态。

注意

当使用 net.tls.certificateSelector 或 --tlsCertificateSelector 设置为 thumbprint 时，您不能使用 rotateCertificates 命令或 db.rotateCertificates() 脚本方法。

--tlsClusterCertificateSelector <参数>=<值>

注意

在 Windows 和 macOS 上可用，作为 --tlsClusterFile 的替代方案。

选项 --tlsClusterFile 和 --tlsClusterCertificateSelector 是互斥的。您只能指定其中一个。

指定一个证书属性以从操作系统的证书存储中选取匹配的证书，用于内部身份验证。

--tlsClusterCertificateSelector 接受格式为 <属性>=<值> 的参数，其中属性可以是以下之一：

属性	值类型	描述
subject	ASCII 字符串	证书上的主题名称或常用名称
thumbprint	十六进制字符串	由十六进制表示的字节序列，用于通过其 SHA-1 摘要标识公钥。 “thumbprint”有时被称为“fingerprint”。

mongod / mongos在连接时如果提供的 x.509 证书在 30 天内过期，将记录一条警告信息。

--tlsCRLFile <filename>

指定包含证书吊销列表的 .pem 文件。使用相对路径或绝对路径指定 .pem 文件的文件名。

注意

• 在 macOS 上无法指定 CRL 文件。相反，您可以使用系统 SSL 证书存储，该存储使用 OCSP（在线证书状态协议）来验证证书的吊销状态。要使用系统 SSL 证书存储，请参阅 --tlsCertificateSelector。

• 为了检查证书吊销，MongoDB 默认启用 OCSP（在线证书状态协议）的使用，作为指定 CRL 文件或使用系统 SSL 证书存储的替代方案。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsAllowConnectionsWithoutCertificates

默认情况下，服务器将跳过客户端证书验证，除非服务器配置为使用 CA 文件。如果提供了 CA 文件，则以下规则适用

• 对于不提供证书的客户端，mongod 或 mongos 将加密 TLS/SSL 连接，假设连接成功建立。

• 对于提供证书的客户端，mongos 使用由 --tlsCAFile 指定的根证书链进行证书验证，并拒绝无效证书的客户端。

如果您有混合部署，其中包含无法或不能向 mongos 提供证书的客户端，请使用 --tlsAllowConnectionsWithoutCertificates 选项。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsAllowInvalidCertificates

跳过对集群中其他服务器TLS证书的验证检查，并允许使用无效证书进行连接。

注意

当使用 x.509 认证并指定 --tlsAllowInvalidCertificates 或 tls.allowInvalidCertificates: true 时，无效证书仅足以建立TLS连接，但对于认证是 不足够的。

当使用 --tlsAllowInvalidCertificates 设置时，MongoDB 会记录有关使用无效证书的警告。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsAllowInvalidHostnames

禁用连接到副本集或分片集群中其他成员时TLS证书中的主机名验证。这允许 mongos 连接到其他成员，即使其证书中的主机名与配置的主机名不匹配。

有关TLS和MongoDB的更多信息，请参阅配置`mongod`和`mongos`以使用TLS/SSL和客户端TLS/SSL配置。

--tlsDisabledProtocols <protocol(s)>

防止运行TLS的MongoDB服务器接受使用特定协议或多个协议的传入连接。要指定多个协议，请使用逗号分隔的协议列表。

--tlsDisabledProtocols 识别以下协议：TLS1_0、TLS1_1、TLS1_2 和 TLS1_3。

• 在macOS上，您不能禁用 TLS1_1 而同时启用 TLS1_0 和 TLS1_2。您必须禁用这两个中的至少一个，例如，TLS1_0,TLS1_1。

• 要列出多个协议，请指定为逗号分隔的协议列表。例如 TLS1_0,TLS1_1。

• 指定一个未知协议将阻止服务器启动。

• 指定的禁用协议将覆盖任何默认禁用协议。

如果系统上提供了TLS 1.1+，MongoDB将禁用TLS 1.0。要启用禁用的TLS 1.0，指定 none 选项 --tlsDisabledProtocols。

副本集和分片集群的成员必须至少使用一个共同的协议。

提示

另请参阅

禁止协议

--tlsFIPSMode

指示 mongos 使用TLS库的FIPS模式。您的系统必须有一个符合FIPS的库才能使用 --tlsFIPSMode 选项。

注意

FIPS兼容的TLS/SSL仅在 MongoDB Enterprise 中可用。有关更多信息，请参阅 为FIPS配置MongoDB。

审计选项

--auditCompressionMode

新增版本5.3.

指定审计日志加密的压缩模式。您还必须使用--auditEncryptionKeyUID 或 --auditLocalKeyFile 启用审计日志加密。

--auditCompressionMode 可以设置为以下值之一

值	描述
zstd	使用 zstd 算法压缩审计日志。
none (默认)	不压缩审计日志。

注意

仅适用于 MongoDB Enterprise。MongoDB Enterprise 和 Atlas 的配置要求不同。

--auditDestination

启用 审计 并指定 mongos 将所有审计事件发送到何处。

--auditDestination 可以有以下值之一

值	描述
syslog	以 JSON 格式将审计事件输出到 syslog。Windows 上不可用。审计消息具有 info 的 syslog 严重性级别和 user 的设施级别。 syslog 消息限制可能导致审计消息截断。审计系统既不会检测截断，也不会在发生错误时出现错误。
console	以 JSON 格式将审计事件输出到 stdout。
file	将审计事件输出到由 --auditPath 指定的文件中，格式按照 --auditFormat 指定的格式。

注意

仅在 MongoDB Enterprise 和 MongoDB Atlas 中可用。

--auditEncryptionKeyUID

新增版本6.0.

指定用于审计日志加密的密钥管理互操作协议（KMIP）密钥的唯一标识符。

您不能同时使用 --auditEncryptionKeyUID 和 --auditLocalKeyFile。

注意

仅适用于 MongoDB Enterprise。MongoDB Enterprise 和 Atlas 的配置要求不同。

--auditFormat

指定在 --auditDestination 为 file 的情况下，审计输出的文件格式。以下值之一可以是 --auditFormat 选项的值：

值	描述
JSON	将审计事件以 JSON 格式输出到由 --auditPath 指定的文件。
BSON	将审计事件以 BSON 二进制格式输出到由 --auditPath 指定的文件。

将审计事件以 JSON 格式输出到文件中比以 BSON 格式输出到文件中对服务器性能的降低更明显。

注意

仅在 MongoDB Enterprise 和 MongoDB Atlas 中可用。

--auditLocalKeyFile

新增版本5.3.

指定用于审计日志加密的本地审计密钥文件的路径和文件名。

注意

仅用于测试时使用--auditLocalKeyFile，因为密钥没有安全性。要保护密钥，请使用--auditEncryptionKeyUID和一个外部密钥管理互操作性协议（KMIP）服务器。

不能同时使用--auditLocalKeyFile和--auditEncryptionKeyUID。

注意

仅适用于 MongoDB Enterprise。MongoDB Enterprise 和 Atlas 的配置要求不同。

--auditPath

如果--auditDestination的值为file，则指定审计输出的文件。选项--auditPath可以接受完整路径名或相对路径名。

注意

仅在 MongoDB Enterprise 和 MongoDB Atlas 中可用。

--auditFilter

指定用于限制审计系统记录的操作类型的过滤器。该选项接受一个查询文档的字符串表示形式

{ <field1>: <expression1>, ... }

<field>可以是审计消息中的任何字段，包括在param文档中返回的字段。 <expression>是一个查询条件表达式。

要指定审计过滤器，请将过滤器文档用单引号括起来，以字符串形式传递文档。

要在配置文件中指定审计过滤器，您必须使用配置文件的YAML格式。

注意

仅在 MongoDB Enterprise 和 MongoDB Atlas 中可用。

--auditSchema

类型: 字符串

默认值: mongo

新增版本8.0.

指定用于审计日志的格式。对于--auditSchema，您可以指定以下值之一

值	描述
mongo	日志以MongoDB设计的格式写入。 例如，有关日志消息的示例，请参阅mongo Schema Audit Messages。
OCSF	日志以OCSF格式写入。此选项提供与日志处理器兼容的标准化日志。 例如，日志消息，请参阅 OCSF 架构审计消息。

分析器选项

--slowms <integer>

默认值: 100

慢操作时间阈值，单位为毫秒。运行时间超过此阈值的操作被视为慢操作。

当 logLevel 设置为 0 时，MongoDB 以由 slowOpSampleRate 确定的速率将慢操作记录到诊断日志中。

在更高的 logLevel 设置下，所有操作都会出现在诊断日志中，无论它们的延迟如何。

对于 mongos 实例，只会影响诊断日志，而不会影响分析器，因为在 mongos 上不可用。

--slowOpSampleRate <double>

默认值: 1.0

应记录的慢操作的比率。命令行选项 --slowOpSampleRate 接受介于0和1之间的值（包含0和1）。

对于 mongos 实例，命令行选项 --slowOpSampleRate 仅影响诊断日志，不会影响分析器，因为 mongos 上没有分析器。

LDAP身份验证和授权选项

--ldapServers <host1>:<port>,<host2>:<port>,...,<hostN>:<port>

仅适用于 MongoDB 企业版。

该LDAP服务器是 mongos 用于对用户进行身份验证或确定用户在特定数据库上授权执行哪些操作的服务器。如果指定的LDAP服务器有任何复制实例，您可以在以逗号分隔的列表中指定每个复制服务器的地址和端口。

如果您的LDAP基础设施将LDAP目录分割到多个LDAP服务器中，请指定一个LDAP服务器或其任何副本实例到 --ldapServers。MongoDB支持以下LDAP引用，如定义在RFC 4511 4.1.10。不要使用 --ldapServers 列出您基础设施中的每个LDAP服务器。

此设置可以在运行中的 mongos 上使用 setParameter 进行配置。

如果未设置，mongos 将无法使用 LDAP身份验证或授权。

--ldapValidateLDAPServerConfig <boolean>

在MongoDB Enterprise中可用

一个标志，用于确定mongos实例是否在启动时检查LDAP服务器的可用性。

• 如果true，则mongos实例执行可用性检查，并且仅在LDAP服务器可用时继续启动。

• 如果false，则mongos实例跳过可用性检查；即即使LDAP服务器不可用，实例也会启动。

--ldapQueryUser <string>

仅适用于 MongoDB 企业版。

当连接到或对LDAP服务器执行查询时，mongos所使用的身份。

以下任一条件为真时，则必须使用

• 使用LDAP授权。

• 使用LDAP查询进行用户名转换.

• LDAP服务器禁止匿名绑定

您必须与--ldapQueryUser和--ldapQueryPassword一起使用。

如果未设置，则mongos不会尝试绑定到LDAP服务器。

此设置可以在运行中的 mongos 上使用 setParameter 进行配置。

注意

Windows MongoDB部署可以使用--ldapBindWithOSDefaults代替--ldapQueryUser和--ldapQueryPassword。您不能同时指定--ldapQueryUser和--ldapBindWithOSDefaults。

--ldapQueryPassword <string>

仅适用于 MongoDB 企业版。

使用--ldapQueryUser时绑定到LDAP服务器所使用的密码。您必须与--ldapQueryPassword和--ldapQueryUser一起使用。

如果未设置，则mongos不会尝试绑定到LDAP服务器。

此设置可以在运行中的 mongos 上使用 setParameter 进行配置。

注意

Windows MongoDB部署可以使用--ldapBindWithOSDefaults代替--ldapQueryPassword和--ldapQueryPassword。您不能同时指定--ldapQueryPassword和--ldapBindWithOSDefaults。

--ldapBindWithOSDefaults <bool>

默认值: false

仅在MongoDB企业版Windows平台中可用。

允许mongos在连接到LDAP服务器时使用您的Windows登录凭证进行身份验证或绑定。

仅在以下情况下需要

• 使用LDAP授权。

• 使用LDAP查询进行用户名转换.

• LDAP服务器禁止匿名绑定

使用--ldapBindWithOSDefaults来替换--ldapQueryUser和--ldapQueryPassword。

--ldapBindMethod <string>

默认值: simple

仅适用于 MongoDB 企业版。

mongos用于连接到LDAP服务器进行身份验证的方法。与--ldapQueryUser和--ldapQueryPassword一起使用。

--ldapBindMethod支持以下值

• simple - mongos使用简单身份验证。

• sasl - mongos使用SASL协议进行身份验证

如果您指定了 sasl，您可以使用 --ldapBindSaslMechanisms 配置可用的 SASL 机制。默认情况下，mongos 使用 DIGEST-MD5 机制。

--ldapBindSaslMechanisms <string>

默认值: DIGEST-MD5

仅适用于 MongoDB 企业版。

一个逗号分隔的 SASL 机制列表，当 mongos 验证 LDAP 服务器时可以使用。必须至少有一个机制，mongos 和 LDAP 服务器必须达成一致。在运行时，mongos 会动态加载主机机器上安装的任何 SASL 机制库。

在 mongos 主机和远程 LDAP 服务器主机上安装和配置所选 SASL 机制的相应库。您的操作系统可能默认包含某些 SASL 库。请参阅每个 SASL 机制的文档以获取有关安装和配置的指南。

如果使用 GSSAPI SASL 机制与 自托管部署上的 Kerberos 验证 一起使用，请对 mongos 主机机器执行以下操作

Linux

• KRB5_CLIENT_KTNAME 环境变量解析为主机机器的客户端 Linux Keytab 文件 的名称。有关 Kerberos 环境变量的更多信息，请参阅 Kerberos 文档。

• 客户端 keytab 包含 mongos 连接到 LDAP 服务器并执行 LDAP 查询时要使用的 用户主体。

Windows

如果连接到Active Directory服务器，当用户登录系统时，Windows Kerberos配置将自动生成一个票据授予票据。将--ldapBindWithOSDefaults设置为true，允许mongos在连接到Active Directory服务器和执行查询时使用生成的凭据。

将--ldapBindMethod设置为sasl以使用此选项。

注意

有关SASL机制的完整列表，请参阅IANA列表。有关与您的LDAP或Active Directory服务兼容的SASL机制的识别，请参阅相关服务的文档。

MongoDB不是SASL机制库的来源，MongoDB文档也不是安装或配置任何给定SASL机制的最终来源。有关文档和支持，请咨询SASL机制库的供应商或所有者。

有关SASL的更多信息，请参阅以下资源

• 对于Linux，请参阅Cyrus SASL文档。

• 对于Windows，请参阅Windows SASL文档。

--ldapTransportSecurity <string>

默认：tls

仅适用于 MongoDB 企业版。

默认情况下，mongos会创建一个TLS/SSL加密的LDAP服务器连接。

对于Linux部署，您必须配置/etc/openldap/ldap.conf文件中的适当TLS选项。您的操作系统包管理器通过libldap依赖项创建此文件，作为MongoDB企业版安装的一部分。有关TLS选项的文档，请参阅ldap.conf OpenLDAP文档以获取更完整的说明。

对于Windows部署，您必须将LDAP服务器CA证书添加到Windows证书管理工具中。该工具的确切名称和功能可能因操作系统版本而异。请参阅您版本的Windows文档，以获取有关证书管理的更多信息。

将--ldapTransportSecurity设置为none以禁用mongos与LDAP服务器之间的TLS/SSL。

警告

将--ldapTransportSecurity设置为none会在mongos和LDAP服务器之间传输明文信息和可能的凭证。

--ldapTimeoutMS <int>

默认值: 10000

仅适用于 MongoDB 企业版。

mongos等待LDAP服务器响应请求的毫秒数。

增加--ldapTimeoutMS的值可以防止MongoDB服务器和LDAP服务器之间的连接失败，如果失败的原因是连接超时。减少--ldapTimeoutMS的值可以减少MongoDB等待LDAP服务器响应的时间。

此设置可以在运行中的 mongos 上使用 setParameter 进行配置。

--ldapRetryCount <int>

新增版本6.1.

默认值: 0

仅适用于 MongoDB 企业版。

服务器LDAP管理器在网络错误后尝试操作的次数。

--ldapUserToDNMapping <string>

仅适用于 MongoDB 企业版。

将提供给 mongos 用于身份验证的用户名映射到 LDAP Distinguished Name (DN)。在以下场景中，您可能需要使用 --ldapUserToDNMapping 将用户名转换为 LDAP DN：

• 执行具有简单 LDAP 绑定的 LDAP 身份验证，其中用户使用不是完整 LDAP DN 的用户名对 MongoDB 进行身份验证。

• 使用需要 DN 的 LDAP 授权查询模板。

• 将使用不同身份验证机制（如 x.509 或 kerberos）对 MongoDB 进行身份验证的客户端的用户名转换为完整的 LDAP DN 以进行授权。

--ldapUserToDNMapping 期望一个引号包裹的 JSON 字符串，表示一个有序文档数组。每个文档包含一个用于匹配提供的用户名的 ECMAScript 格式的正则表达式 match 以及用于转换传入用户名的 substitution 或 ldapQuery 模板。

数组中的每个文档具有以下形式

{
  match: "<regex>"
  substitution: "<LDAP DN>" | ldapQuery: "<LDAP Query>"
}

字段	描述	示例
match	一个用于与提供的用户名匹配的 ECMAScript 格式的正则表达式 (regex)。每个括号包裹的部分代表一个正则表达式捕获组，用于 substitution 或 ldapQuery。	"(.+)ENGINEERING" "(.+)DBA"
替换	一个LDAP唯一名称（DN）格式模板，它将匹配 match 正则表达式的认证名称转换为LDAP DN。每个花括号包围的数值将被通过 match 正则表达式从认证用户名中提取的相应的正则表达式捕获组 替换。 替换的结果必须是一个RFC4514 转义的字符串。	"cn={0},ou=engineering, dc=example,dc=com"
ldapQuery	一个LDAP查询格式化模板，该模板将匹配正则表达式match的认证名称插入到遵守RFC4515和RFC4516的LDAP查询URI编码中。每个花括号括起来的数值将被通过match表达式从认证用户名中提取出的对应正则表达式捕获组替换。mongos在LDAP服务器上执行查询以检索认证用户的LDAP DN。如果mongos返回的结果正好有一个，转换才会成功，否则mongos将跳过此转换。	"ou=engineering,dc=example, dc=com??one?(user={0})"

注意

RFC4514、RFC4514或LDAP查询不属于MongoDB文档的范畴。请直接查看RFC文档或使用您偏好的LDAP资源。

对于数组中的每个文档，您必须使用substitution或ldapQuery之一。您不能在同一个文档中同时指定两者。

在执行身份验证或授权时，mongos将按照给定顺序遍历数组中的每个文档，将认证用户名与match过滤器进行匹配。如果找到匹配项，mongos将应用转换并使用输出进行用户认证。mongos不会检查数组中的剩余文档。

如果给定的文档与提供的认证名称不匹配，mongos将继续遍历文档列表以查找更多匹配项。如果在任何文档中找不到匹配项，或者文档描述的转换失败，mongos将返回一个错误。

如果由于网络或认证失败导致无法评估某些转换，mongos也会返回一个错误。mongos拒绝连接请求，并且不会检查数组中剩余的文档。

从MongoDB 5.0开始，--ldapUserToDNMapping接受空字符串""或空数组[ ]作为映射文档。如果向--ldapUserToDNMapping提供空字符串或空数组，MongoDB将映射认证用户名作为LDAP DN。以前，提供空映射文档会导致映射失败。

示例

以下显示了两个转换文档。第一个文档与以@ENGINEERING结尾的任何字符串匹配，将后缀之前的内容放入正则表达式捕获组中。第二个文档与以@DBA结尾的任何字符串匹配，将后缀之前的内容放入正则表达式捕获组中。

重要

您必须将数组作为字符串传递给--ldapUserToDNMapping。

"[
   {
      match: "(.+)@ENGINEERING.EXAMPLE.COM",
      substitution: "cn={0},ou=engineering,dc=example,dc=com"
   },
   {
      match: "(.+)@DBA.EXAMPLE.COM",
      ldapQuery: "ou=dba,dc=example,dc=com??one?(user={0})"
   }
]"

用户名alice@ENGINEERING.EXAMPLE.COM与第一个文档匹配。正则表达式捕获组{0}对应于字符串alice。生成的输出是DN"cn=alice,ou=engineering,dc=example,dc=com"。

用户名bob@DBA.EXAMPLE.COM与第二个文档匹配。正则表达式捕获组{0}对应于字符串bob。生成的输出是LDAP查询"ou=dba,dc=example,dc=com??one?(user=bob)"。mongos执行此查询以对LDAP服务器进行查询，返回结果"cn=bob,ou=dba,dc=example,dc=com"。

如果未设置--ldapUserToDNMapping，则mongos在尝试对LDAP服务器进行用户认证或授权时不会对用户名进行任何转换。

可以使用setParameter数据库命令在运行中的mongos上配置此设置。

其他选项

--ipv6

启用IPv6支持。默认情况下，mongos禁用IPv6支持。

设置--ipv6不会直接让mongos监听任何本地IPv6地址或接口。要配置mongos以监听IPv6接口，您必须：

• 配置--bind_ip为至少一个IPv6地址或解析为IPv6地址的主机名，或者

• 将--bind_ip_all设置为true。