AtlasDatabaseUser Recurso personalizado

Secretos de conexión

Después de que Atlas Kubernetes Operator cree o actualice correctamente el usuario de base de datos en Atlas, Atlas Kubernetes Operator crea o actualiza los secretos de conexión en el mismo namespace donde se encuentra el recurso personalizado AtlasDatabaseUser.

Los secretos de conexión contienen toda la información necesaria para conectar con los clústeres de Atlas, incluidos los siguientes parámetros:

Las aplicaciones que se ejecutan en Kubernetes pueden utilizar esta información para conectarse a los clústeres de Atlas. Puedes montar los secretos en los pods de la aplicación como archivos, y el proceso de la aplicación puede leer estos archivos para obtener datos.

El siguiente ejemplo muestra cómo montar el secreto como una variable de entorno:

spec:
containers:
- name: test-app
  env:
    - name: "CONNECTIONSTRING"
      valueFrom:
        secretKeyRef:
          name: project-cluster-basic-theuser
          key: connectionStringStandardSrv

El siguiente ejemplo muestra cómo montar el secreto como archivos:

spec:
containers:
- name: test-app
  volumeMounts:
  - mountPath: /var/secrets/
    name: theuser-connection
volumes:
  - name: theuser-connection
    secret:
      secretName: project-cluster-basic-theuser

Por defecto, Atlas Kubernetes Operator crea el secreto de conexión del usuario de base de datos para cada clúster en el mismo proyecto al que hace referencia el AtlasDatabaseUser. Puede cambiar este comportamiento con el parámetro spec.scopes. Este parámetro restringe los clústeres donde se crea el usuario de base de datos. El nombre del secreto de conexión utiliza el siguiente formato: <project_name>-<cluster_name>-<db_user_name>.

Ejemplos

apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
 name: my-project
spec:
 name: p1
 projectIpAccessList:
   - ipAddress: "192.0.2.15"
     comment: "IP address for Application Server A"
apiVersion: atlas.mongodb.com/v1
kind: AtlasDeployment
metadata:
 name: my-aws-cluster
spec:
 name: aws-cluster
 projectRef:
   name: my-project
 providerSettings:
   instanceSizeName: M10
   providerName: AWS
   regionName: US_EAST_1
apiVersion: atlas.mongodb.com/v1
kind: AtlasDeployment
metadata:
 name: my-gcp-cluster
spec:
 name: gcp-cluster
 projectRef:
   name: my-project
 providerSettings:
   instanceSizeName: M10
   providerName: GCP
   regionName: EASTERN_US

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
 name: my-database-user
spec:
 description: "User for the reporting application."
 roles:
   - roleName: readWriteAnyDatabase
     databaseName: admin
 projectRef:
   name: my-project
 username: theuser
 passwordSecretRef:
   name: the-user-password

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
 name: my-database-user
spec:
 roles:
   - roleName: "readWriteAnyDatabase"
     databaseName: "admin"
 projectRef:
   name: my-project
 username: theuser
 passwordSecretRef:
   name: the-user-password
 scopes:
   - type: CLUSTER
     name: gcp-cluster

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-database-user
spec:
  username: CN=my-x509-authenticated-user,OU=organizationalunit,O=organization
  databaseName: "\$external"
  x509Type: "CUSTOMER"
  roles:
    - roleName: "readWriteAnyDatabase"
      databaseName: "admin"
  projectRef:
    name: my-project

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-database-user
spec:
  roles:
    - roleName: "readWriteAnyDatabase"
      databaseName: "admin"
  projectRef:
    name: my-project
  username: my-oidc-group-id/my-idp-group-name
  oidcAuthType: IDP_GROUP

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-database-user
spec:
  username: arn:aws:iam::123456789012:user/johndoe
  databaseName: "$external"
  roles:
    - roleName: "readWriteAnyDatabase"
      databaseName: "admin"
  projectRef:
    name: my-project
 awsIamType: USER

Parámetros

Esta sección describe algunos de los parámetros clave AtlasDatabaseUser de recursos personalizados disponibles. Para ver una lista completa de los parámetros disponibles, consulta la API de usuarios de bases de datos de Atlas. Consulta estas descripciones, los ejemplos disponibles y la documentación API para personalizar tus especificaciones.

spec.awsIamType

Tipo: string

Opcional

Etiqueta que indica si el usuario de base de datos se autentica con las credenciales de AWS IAM asociadas con el usuario o al rol del usuario. Si no especifica un valor, Atlas utiliza el valor por defecto de NONE.

Este parámetro acepta:

Ninguno	User who doesn't use AWS IAM authentication.
USER	El usuario que se autentica con las credenciales de AWS IAM asociadas con el usuario.
rol	Usuario que se autentica con las credenciales de AWS IAM asociadas al rol del usuario.

spec.connectionSecret.name

Tipo: string

Condicional

Nombre del secreto opaco que contiene el Identificador de la Organización y claves de API que Atlas Kubernetes Operator utiliza para conectarse a Atlas. Si no se especifica, el Atlas Kubernetes Operator volverá a lo siguiente:

• El parámetro spec.connectionSecretRef.name de la matriz principal atlasProject

• El secreto global por defecto, si spec.connectionSecretRef.name no está definido para el atlasProjectprincipal

Este parámetro es obligatorio para CRD independientes.

El Atlas Kubernetes Operator supervisa los secretos solo con la etiqueta atlas.mongodb.com/type=credentials para evitar la supervisión de secretos innecesarios.

El siguiente ejemplo etiqueta un secreto:

kubectl label secret the-user-password atlas.mongodb.com/type=credentials

spec.databaseName

Tipo: string

Requerido

Base de datos contra la cual el usuario de base de datos se autentica. Los usuarios de bases de datos deben proporcionar tanto un nombre de usuario como una base de datos de autenticación para iniciar sesión en MongoDB.

Si el usuario de base de datos se autentica con SCRAM-SHA, este valor debe ser admin.

Si el usuario de base de datos se autentica con X.509, este valor debe ser \$external.

Si el usuario de base de datos se autentica con OpenID Connect, este valor debe ser $external.

spec.description

Tipo: string

Opcional

Descripción de este usuario de base de datos de hasta 100 caracteres.

spec.externalProjectRef.id

Tipo: string

Condicional

ID del Proyecto al que pertenece el usuario de base de datos. Debe especificar el ID del grupo de un Proyecto Atlas existente. Este parámetro es obligatorio para los usuarios de bases de datos que pertenecen a proyectos gestionados por:

• Una instancia diferente de Atlas Kubernetes Operator

• Herramientas distintas del Atlas Kubernetes Operator

Para usuarios de bases de datos que pertenecen a proyectos gestionados por la misma instancia de Atlas Kubernetes Operator, utiliza spec.projectRef.name si no utilizas spec.externalProjectRef.id.

spec.oidcAuthType

Tipo: string

Condicional

Método OIDC mediante el cual la base de datos autentica el/a spec.username. proporcionad@

Si el usuario de base de datos se autentica con OpenID Connect, este valor debe ser IDP_GROUP.

Este parámetro acepta:

Ninguno	Usuario que no utiliza la autenticación OIDC.
USER	Usuario que utiliza el OIDC gestionado por Atlas. Debe especificar $external para el parámetro spec.databaseName.

spec.passwordSecretRef

Tipo: string

Condicional

Referencia al secreto que contiene la contraseña. El método de autenticación SCRAM-SHA requiere este parámetro.

spec.projectRef.name

Tipo: string

Condicional

Nombre del proyecto al que pertenece el usuario de la base de datos. Debe especificar un AtlasProject Recurso personalizado existente. Este parámetro solo se aplica a los usuarios de bases de datos que pertenecen a Proyectos gestionados por la misma instancia del Atlas Kubernetes Operator.

Para las usuarias y los usuarios de bases de datos que pertenecen a proyectos gestionados por:

• una instancia diferente de Atlas Kubernetes Operator

• Herramientas distintas del Atlas Kubernetes Operator

usar spec.externalProjectRef.name.

spec.roles

Tipo: arreglo

Requerido

Lista que contiene los roles del usuario y las bases de datos o colecciones en las que se aplican los roles. Para obtener una lista completa de parámetros disponibles, consulte la Atlas API de usuarios de bases de datos.

spec.scopes

Tipo: arreglo

Opcional

Lista que contiene los clústeres donde se crea el usuario.

spec.scopes.name

Tipo: string

Condicional

Etiqueta legible por humanos que identifica el clúster al que el usuario de base de datos puede acceder. Debe especificar este parámetro si especificó spec.scopes.

spec.scopes.type

Tipo: string

Condicional

Etiqueta legible por humanos que identifica el tipo de recurso al que puede acceder el usuario de base de datos. Atlas Kubernetes Operator actualmente solo admite CLUSTER. Debe especificar este parámetro si especificó spec.scopes.

spec.username

Tipo: string

Requerido

Etiqueta legible por humanos que identifica al usuario necesario para autenticarse en la base de datos MongoDB o colección.

Si el usuario de base de datos se autentica con OpenID Connect, este valor debe ser su Atlas OIDC proveedor de identidad seguido de una barra diagonal / y su proveedor de identidad nombre de grupo.

Si el usuario de la base de datos se autentica con las credenciales de AWS IAM, este valor debe ser el usuario que se autentica con las credenciales de AWS IAM o el rol del usuario que se autentica con las credenciales de AWS IAM en formato de Amazon Resource Name.

spec.x509Type

Tipo: string

Opcional

X.509 método mediante el cual la base de datos autentica el/la spec.username proporcionado/a. Si no especifica un valor, Atlas utiliza el valor por defecto de NONE.

Este parámetro acepta:

Ninguno	Usuario que no usa autenticación X.509.
gestionado/gestionada	Usuario que utiliza X.509 gestionado por Atlas. Debe especificar \$external para el parámetro spec.databaseName.
cliente	Usuario que utiliza Self-Managed X.509. Los usuarios creados con este x509Type requieren un nombre común (CN) en el parámetro spec.username. Para obtener más información, consulte la RFC 2253. Debe especificar \$external para el parámetro spec.databaseName.

Para conocer los parámetros de configuración disponibles desde la API, consulte la API de usuarios de bases de datosde Atlas.

Actualmente, Atlas Kubernetes Operator no admite los siguientes parámetros disponibles en Atlas API de usuarios de base de datos:

• ldapAuthType

No especifiques los siguientes parámetros:

• groupId

• password

  Especifique spec.passwordSecretRef en su lugar.