将自托管副本集更新为密钥文件认证（无停机时间）

创建管理员用户。

连接到主节点以创建具有userAdminAnyDatabase角色的用户。该userAdminAnyDatabase角色允许访问部署中任何数据库的用户创建。

以下示例在admin数据库上为fred用户创建具有userAdminAnyDatabase角色的用户。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: " passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

完成此过程后，管理副本集中用户的任何客户端都必须以该用户或具有类似权限的用户身份进行身份验证。

请参阅数据库用户角色，获取内置角色的完整列表以及与数据库管理操作相关的信息。

创建集群管理员。

连接到主节点，使用clusterAdmin角色创建用户。该clusterAdmin角色允许访问复制操作，例如配置副本集。

以下示例在admin数据库上创建具有clusterAdmin角色的用户ravi。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ] 
  }
)

完成此过程后，任何管理或维护副本集的客户端都必须以该用户身份或具有类似权限的用户身份进行身份验证。

请参阅集群管理角色，获取与副本集操作相关的内置角色的完整列表。

为客户端应用程序创建用户。

创建用户以允许客户端应用程序连接并与副本集交互。完成本教程后，客户端必须以配置的用户身份进行身份验证以连接到副本集。

请参阅数据库用户角色，了解用于创建只读和读写用户的内置基本角色。

以下示例在foo数据库上创建具有读写权限的用户。

在foo数据库中创建具有readWrite角色的用户。

db.getSiblingDB("foo").createUser(
  {
    "user" : "joe",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "readWrite", "db" : "foo" } ] 
  }
)

以该用户身份进行身份验证的客户端可以对foo数据库执行读写操作。有关创建已验证连接的更多信息，请参阅使用自管理部署对用户进行身份验证。

有关添加用户的信息，请参阅添加用户教程。在添加新用户时，请考虑安全最佳实践。

更新客户端应用程序

在执行此步骤时，副本集不强制执行身份验证。但是，客户端应用程序仍然可以指定身份验证凭据并连接到副本集。

将客户端应用程序更新为使用配置的用户身份验证副本集。身份验证连接需要用户名、密码和身份验证数据库。请参阅使用自托管部署身份验证用户。

例如，以下代码连接到名为mongoRepl的副本集，并以用户joe的身份进行身份验证。

mongosh  -u joe -password  -authenticationDatabase foo --host mongoRepl/mongo1.example.net:27017, mongo2.example.net:27017, mongo3.example.net:27017

如果您没有指定-p命令行选项，mongosh将提示输入密码。

如果您的应用程序使用MongoDB驱动程序，请参阅相关驱动程序文档，了解创建身份验证连接的说明。

本教程完成后，副本集将拒绝未经过身份验证的客户端连接。现在执行此步骤可以确保在过渡前后客户端都可以连接到副本集。

创建密钥文件。

使用密钥文件身份验证，副本集中的每个mongod实例使用密钥文件的內容作为共享密码，以验证部署中的其他成员。只有具有正确密钥文件的mongod实例才能加入副本集。

密钥长度必须在6到1024个字符之间，并且只能包含base64集合中的字符。副本集的所有成员必须共享至少一个公共密钥。

您可以使用任何您选择的方法生成密钥文件。例如，以下操作使用openssl生成一个复杂的伪随机1024字符字符串作为共享密码。然后使用chmod更改文件权限，仅提供文件所有者的读取权限

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的更多详细信息和要求，请参阅密钥文件。

将密钥文件复制到每个副本集成员。

将密钥文件复制到托管副本集成员的每个服务器。确保运行mongod实例的用户是文件的所有者并且可以访问密钥文件。

避免将密钥文件存储在可以轻松从托管mongod实例的硬件断开连接的存储介质上，例如USB驱动器或网络附加存储设备。

使用 transitionToAuth 重新启动副本集的每个次要成员或仲裁成员。

重新启动副本集中的每个 次要 或 仲裁 成员，包括配置中的

• security.transitionToAuth 设置。将 mongod 配置为将 security.transitionToAuth 设置为 true，可以将实例置于过渡状态，此时它可以接受和创建已认证和未认证的连接。

• 如 security.keyFile 之类的内部认证机制。

必须逐个重启每个成员，以确保副本集中多数成员保持在线。

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>

在启动 mongod 时，使用包含配置文件路径的 --config 选项。

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅 配置选项。

或者，您可以在启动 mongod 时使用等效的命令行选项（例如 --transitionToAuth 和 --keyFile）。有关选项的完整列表，请参阅 mongod 参考页面。

根据您的部署情况，包含适当的额外设置。

完成此步骤后，所有辅助成员和仲裁成员都应启动并运行，且 security.transitionToAuth 设置为 true。

降低副本集的主成员并使用 --transitionToAuth 重新启动它。

降低副本集中的主成员并重新启动该成员，包括其配置

• security.transitionToAuth 设置。将 mongod 配置为将 security.transitionToAuth 设置为 true，可以将实例置于过渡状态，此时它可以接受和创建已认证和未认证的连接。

• 如 security.keyFile 之类的内部认证机制。

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>
  

使用配置文件启动 mongod。

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅 配置选项。

或者，您可以在启动 mongod 时使用等效的命令行选项（例如 --transitionToAuth 和 --keyFile）。有关选项的完整列表，请参阅 mongod 参考页面。

根据您的部署情况，包含适当的额外设置。

本步骤结束时，副本集的所有成员都应启动并运行，其中 security.transitionToAuth 设置为 true，security.keyFile 设置为密钥文件路径。

重新启动从节点和仲裁者 不 使用 --transitionToAuth

重新启动副本集中的每个 从节点 或 仲裁者 成员，并在重新启动时移除 security.transitionToAuth 选项。您必须逐个进行此操作，以确保副本集中的多数成员保持在线。

如果副本集的大多数成员同时离线，则副本集可能进入只读模式。

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>

使用配置文件启动 mongod

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅 配置选项。

您还可以在启动您的 mongod 时使用等效的 mongod 选项。有关选项的完整列表，请参阅 mongod 参考页面。

根据您的部署情况，包含适当的额外设置。

完成此步骤后，所有辅助成员和仲裁成员都应运行，并已配置内部认证，但 不 使用 security.transitionToAuth。客户端只能通过配置的客户端认证机制连接到这些 mongod 实例。

降级并重新启动主副本集成员，不使用—transitionToAuth选项。

将副本集中的主成员降级，然后不使用主选项重新启动它。

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
  

使用配置文件启动 mongod

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅 配置选项。

在启动您的 mongod 时，您也可以使用等效的 mongod 选项。有关选项的完整列表，请参阅 mongod 参考页面。

根据您的部署情况，包含适当的额外设置。

在此步骤结束时，副本集的所有成员都应正常运行并强制执行认证。客户端只能通过配置的客户端认证机制连接到这些 mongod 实例。