Nota
- Esta funcionalidad no está disponible para los clústeres
M0y clústeresFlex.
Atlas admite conexiones peering de red para clústeres dedicados alojados en AWS, Google Cloud y Azure, así como en clústeres de multi-nube particionados.
El emparejamiento de red establece una conexión privada entre la VPC de Atlas y la VPC del proveedor de nube. La conexión aísla el tráfico de las redes públicas para aumentar la seguridad.
Atlas no admite el emparejamiento de red entre los clústeres que has implementado en una sola región pero en diferentes proveedores de nube.
Para gestionar su conexión peering de red con Atlas Kubernetes Operator, puede especificar y actualizar la spec.networkPeers parámetro para el AtlasProject Recurso personalizado. Cada vez que cambias el campo spec en cualquiera de los recursos personalizados compatibles, el operador Atlas Kubernetes crea o actualiza la configuración correspondiente de Atlas.
Requisitos previos
Para configurar el emparejamiento de red utilizando Atlas Kubernetes Operator, se requiere lo siguiente:
Un clúster de Kubernetes en funcionamiento con Atlas Kubernetes Operator implementado.
El
Project OwneroOrganization Ownerrol en Atlas.Si aún no lo has hecho, crea tu VPC en AWS. Para obtener más información, consulte Empiece en Amazon VPC.
Una norma de tráfico de red para el tráfico saliente.
Se debe crear la siguiente regla de tráfico de red en el grupo de seguridad AWS adjunto a los recursos que se conectan a Atlas:
PermisoInstruccionesPuertoObjetivoPermitir
saliente
27015-27017 inclusive
al CIDR de Altas
Un clúster de Kubernetes en funcionamiento con Atlas Kubernetes Operator implementado.
El
Project OwneroOrganization Ownerrol en Atlas.Si aún no lo ha hecho, cree su VNet en Azure. Para obtener más información, consulta Crea una red virtual utilizando el portal de Azure.
Roles de Azure requeridos para configurar una conexión peering de red.
Para obtener más información, consulta los permisos de Windows Permisos de Azure.
Un principal de servicio para la ID de la aplicación de emparejamiento de Atlas.
Nota
Para obtener más información sobre cómo Atlas crea conexiones de interconexión de red con VPCde Azure, consulte la pestaña
Azureen Interconexión de red.Debe completar los siguientes pasos antes de crear cada conexión peering de red de Azure:
Ejecute el siguiente comando de Azure CLI para crear un principal de servicio utilizando el ID de la aplicación Atlas emparejamiento especificado:
az ad sp create --id e90a1407-55c3-432d-9cb1-3638900a9d22 Solo tienes que hacer esto una vez por cada suscripción. Si recibes el siguiente mensaje, el principal de servicio con el ID de la aplicación de emparejamiento de Atlas ya existe. Proceed to the siguiente step.
Another object with the same value for property servicePrincipalNames already exists. Copia el siguiente archivo de ejemplo
peering-role.jsony guárdalo en tu directorio de trabajo actual:1 { 2 "Name":"AtlasPeering/<azureSubscriptionId>/<resourceGroupName>/<vnetName>", 3 "IsCustom":true, 4 "Description":"Grants MongoDB access to manage peering connections on network /subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>", 5 "Actions":[ 6 "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/read", 7 "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write", 8 "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/delete", 9 "Microsoft.Network/virtualNetworks/peer/action" 10 ], 11 "AssignableScopes":[ 12 "/subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>" 13 ] 14 } Reemplace las variables en el
peering-role.jsoncon detalles sobre la VNet de Azure con la que desea crear una conexión de emparejamiento:VariableDescripciónazureSubscriptionIdIdentificador único de la suscripción de Azure en la que reside la VNet.
resourceGroupNameNombre de su grupo de recursos de Azure.
vnetNameNombre de tu Azure VNet.
Ejecute el siguiente comando Azure CLI para crear la definición de rol utilizando el archivo
peering-role.json:az role definition create --role-definition peering-role.json Ejecute el siguiente comando de la CLI de Azure para asignar el rol que creó al principal del servicio.
Reemplace las variables con los mismos valores que utilizó en el archivo
peering-role.json.az role assignment create \ --role "AtlasPeering/<azureSubscriptionId>/<resourceGroupName>/<vnetName>" \ --assignee "e90a1407-55c3-432d-9cb1-3638900a9d22" \ --scope "/subscriptions/<azureSubscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>"
Un clúster de Kubernetes en funcionamiento con Atlas Kubernetes Operator implementado.
El
Project OwneroOrganization Ownerrol en Atlas.Una cuenta de usuario de Google Cloud con una política de usuario de IAM y un rol de Compute Network Admin que otorga permisos para crear, modificar y borrar recursos de red. Para obtener más información sobre cómo administrar nodos privados y conexiones en Google Cloud, consulta Crear y modificar redes de Virtual Private Cloud (VPC).
Si aún no lo has hecho, crea tu VPC en Google Cloud. Para obtener más información, consulte la documentación de GCP.
Procedimiento
Permite que los clientes se conecten a los clústeres de Atlas mediante una conexión peering de red con el siguiente procedimiento:
Especifica el parámetro spec.networkPeers.
Puedes configurar el emparejamiento de red para usar un contenedor existente o uno nuevo.
Utilice un contenedor existente
Especifica el spec.networkPeers parámetro en el
AtlasProjectRecurso personalizado. Reemplace los siguientes marcadores de posición con sus valores:Marcador de posiciónDescripciónspec.networkPeers.providerNameNombre del proveedor de nube. Especifique
AWS.spec.networkPeers.containerIdIdentificador único para el contenedor de emparejamiento de red que deseas utilizar. Si no especificas
containerId, debes estableceratlasCIDRblock. Para obtener más información, consulta la sección Create New Container de este procedimiento.spec.networkPeers.accepterRegionNameRegión de AWS para tu VPC.
spec.networkPeers.awsAccountIdIdentificador único para tu cuenta de AWS. AWS muestra el ID de la cuenta cuando haces clic en el nombre de la cuenta en la esquina superior derecha de la página de inicio de la consola.
spec.networkPeers.routeTableCidrBlockBloque CIDR para su AWS VPC. AWS muestra el bloque CIDR en la página de detalles de su VPC.
spec.networkPeers.vpcIdIdentificador único para tu AWS VPC. AWS muestra el ID de la VPC en la página de detalles de tu VPC.
Ejecuta el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: atlas.mongodb.com/v1 kind: AtlasProject metadata: name: my-project spec: name: Test Atlas Operator Project networkPeers: - providerName: "AWS" containerID: "6dc5f17280eef56a459fa3fb" accepterRegionName: "us-east-2" awsAccountId: "12345678" routeTableCidrBlock: "10.0.0.0/24" vpcId: "vpc-12345678" EOF
Crear un nuevo contenedor
Especifica el spec.networkPeers parámetro en el
AtlasProjectRecurso personalizado. Reemplace los siguientes marcadores de posición con sus valores:Marcador de posiciónDescripciónspec.networkPeers.providerNameNombre del proveedor de nube. Especifique
AWS.spec.networkPeers.atlasCidrBlockBloque CIDR de Atlas para el que Atlas Kubernetes Operator crea un nuevo contenedor. Si no especifica
atlasCidrBlock, debe especificar elcontainerIdde un contenedor existente. Para aprender más, consulte la sección Use Existing Container en este procedimiento.spec.networkPeers.containerRegion(Opcional) Amazon Web Services región en la que Atlas Kubernetes Operator crea un nuevo contenedor. Si no especifica ni un
containerRegionni uncontainerId, Atlas Kubernetes Operator crea un nuevo contenedor en la misma región que elaccepterRegionName.spec.networkPeers.accepterRegionNameRegión de AWS para tu VPC.
spec.networkPeers.awsAccountIdIdentificador único para tu cuenta de AWS. AWS muestra el ID de la cuenta cuando haces clic en el nombre de la cuenta en la esquina superior derecha de la página de inicio de la consola.
spec.networkPeers.routeTableCidrBlockBloque CIDR para su AWS VPC. AWS muestra el bloque CIDR en la página de detalles de su VPC.
spec.networkPeers.vpcIdIdentificador único para tu AWS VPC. AWS muestra el ID de la VPC en la página de detalles de tu VPC.
Ejecuta el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: atlas.mongodb.com/v1 kind: AtlasProject metadata: name: my-project spec: name: Test Atlas Operator Project networkPeers: - providerName: "AWS" atlasCidrBlock: "10.8.0.0/21" containerRegion: "us-west-1" accepterRegionName: "us-east-2" awsAccountId: "12345678" routeTableCidrBlock: "10.0.0.0/24" vpcId: "vpc-12345678" EOF
Verifica el estado de WAITING FOR USER.
Ejecuta el siguiente comando:
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.statusName}' WAITING FOR USER Si el valor de
statusNameesWAITING FOR USER, pasa al siguiente paso. Si elstatusNameno esWAITING FOR USER, espera unos minutos y vuelve a intentar este paso.
Acepta la conexión de emparejamiento de VPC en AWS.
Para obtener más información, consulta Aceptar una conexión de emparejamiento de VPC.
Comprueba el estado de tu conexión VPC utilizando Atlas Kubernetes Operator.
Ejecute el siguiente comando de nuevo para comprobar el estado de la conexión VPC. Atlas Kubernetes Operator devuelve READY cuando la conexión peering de red está completa.
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.statusName}'
READY
Especifica el parámetro spec.networkPeers.
Puedes configurar el emparejamiento de red para usar un contenedor existente o uno nuevo.
Utilice un contenedor existente
Especifica el spec.networkPeers parámetro en el
AtlasProjectRecurso personalizado. Reemplace los siguientes marcadores de posición con sus valores:Marcador de posiciónDescripciónspec.networkPeers.providerNameNombre del proveedor de nube. Especifique
AZURE.spec.networkPeers.containerIdIdentificador único para el contenedor de emparejamiento de red que deseas utilizar. Si no especificas
containerId, debes estableceratlasCIDRblock. Para obtener más información, consulta la sección Create New Container de este procedimiento.spec.networkPeers.accepterRegionNameRegión de Azure para su VPC.
spec.networkPeers.azureSubscriptionIdIdentificador único de su suscripción de Azure. Azure muestra el ID de suscripción en la página de detalles de la suscripción.
spec.networkPeers.resourceGroupNameEtiqueta legible por humanos que identifica el grupo de recursos Azure que contiene el VPC. Azure muestra el nombre del grupo de recursos en la página de detalles del grupo de recursos.
spec.networkPeers.azureDirectoryIdIdentificador único de su inquilino de Azure Active Directorio. Azure muestra esto como el
Tenant IDen la página de propiedades del inquilino.spec.networkPeers.vnetNameEtiqueta legible por humanos que identifica tu Azure VNET. Azure muestra el nombre de VNET en la página de detalles de tu VNET.
Ejecuta el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: atlas.mongodb.com/v1 kind: AtlasProject metadata: name: my-project spec: name: Test Atlas Operator Project networkPeers: - providerName: "AZURE" containerID: "6dc5f17280eef56a459fa3fb" accepterRegionName: "US_EAST_2" azureSubscriptionId: "12345678" resourceGroupName: "my-group" azureDirectoryId: "x0xxx10-00x0-0x01-0xxx-x0x0x01xx100" vnetName: "my-vnet" EOF
Crear un nuevo contenedor
Especifica el spec.networkPeers parámetro en el
AtlasProjectRecurso personalizado. Reemplace los siguientes marcadores de posición con sus valores:Marcador de posiciónDescripciónspec.networkPeers.providerNameNombre del proveedor de nube. Especifique
AZURE.spec.networkPeers.atlasCidrBlockBloque CIDR de Atlas para el que Atlas Kubernetes Operator crea un nuevo contenedor. Si no especifica
atlasCidrBlock, debe especificar elcontainerIdde un contenedor existente. Para aprender más, consulte la sección Use Existing Container en este procedimiento.spec.networkPeers.containerRegion(Opcional) región de Azure en la que Atlas Kubernetes Operator crea un nuevo contenedor. Si no especifica un
containerRegiono uncontainerId, Atlas Kubernetes Operator crea un nuevo contenedor en la misma región que elaccepterRegionName.spec.networkPeers.accepterRegionNameRegión de Azure para su VPC.
spec.networkPeers.azureSubscriptionIdIdentificador único de su suscripción de Azure. Azure muestra el ID de suscripción en la página de detalles de la suscripción.
spec.networkPeers.resourceGroupNameEtiqueta legible por humanos que identifica el grupo de recursos Azure que contiene el VPC. Azure muestra el nombre del grupo de recursos en la página de detalles del grupo de recursos.
spec.networkPeers.azureDirectoryIdIdentificador único del inquilino de directorio activo de Azure. Azure muestra esto como el
Tenant IDen la página de propiedades del inquilino.spec.networkPeers.vnetNameEtiqueta legible por humanos que identifica tu Azure VNET. Azure muestra el nombre de VNET en la página de detalles de tu VNET.
Ejecuta el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: atlas.mongodb.com/v1 kind: AtlasProject metadata: name: my-project spec: name: Test Atlas Operator Project networkPeers: - providerName: "AZURE" atlasCidrBlock: "10.8.0.0/21" containerRegion: "US_WEST" azureSubscriptionId: "12345678" resourceGroupName: "my-group" azureDirectoryId: "x0xxx10-00x0-0x01-0xxx-x0x0x01xx100" vnetName: "my-vnet" EOF
Comprueba el estado de tu conexión VPC utilizando Atlas Kubernetes Operator.
Ejecute el siguiente comando para comprobar el estado de la conexión VPC. Atlas Kubernetes Operator devuelve READY cuando la conexión peering de red está completa.
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.status}'
READY
Especifica el parámetro spec.networkPeers.
Puedes configurar el emparejamiento de red para usar un contenedor existente o uno nuevo.
Utilice un contenedor existente
Especifica el spec.networkPeers parámetro en el
AtlasProjectRecurso personalizado. Reemplace los siguientes marcadores de posición con sus valores:Marcador de posiciónDescripciónspec.networkPeers.providerNameNombre del proveedor de nube. Especifique
GCP.spec.networkPeers.containerIdIdentificador único para el contenedor de emparejamiento de red que deseas usar. Si no especifica
containerId, debe estableceratlasCIDRblockycontainerRegion. Para aprender más, consulta la sección Create New Container en este procedimiento.spec.networkPeers.gcpProjectIdIdentificador único para tu proyecto de Google Cloud. Google Cloud muestra el ID del grupo en la página de detalles del Proyecto.
spec.networkPeers.routeTableCidrBlockBloque CIDR para tu Google Cloud VPC. Google Cloud muestra el bloque CIDR en la página de detalles de tu VPC.
spec.networkPeers.networkNameEtiqueta legible por humanos para su Google Cloud VPC. Google Cloud muestra el nombre de red en la página de detalles de tu VPC.
Ejecuta el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: atlas.mongodb.com/v1 kind: AtlasProject metadata: name: my-project spec: name: Test Atlas Operator Project networkPeers: - providerName: "GCP" containerId: "6dc5f17280eef56a459fa3fb" gcpProjectId: "12345678" networkName: "my-vpc" EOF
Crear un nuevo contenedor
Especifica el spec.networkPeers parámetro en el
AtlasProjectRecurso personalizado. Reemplace los siguientes marcadores de posición con sus valores:Marcador de posiciónDescripciónspec.networkPeers.providerNameNombre del proveedor de nube. Especifique
GCP.spec.networkPeers.atlasCidrBlockBloque CIDR de Atlas para el que Atlas Kubernetes Operator crea un nuevo contenedor. Si no especifica
atlasCidrBlock, debe especificar elcontainerIdde un contenedor existente. Para aprender más, consulte la sección Use Existing Container en este procedimiento.spec.networkPeers.containerRegionRegión de Google Cloud para tu VPC.
spec.networkPeers.containerRegionregión de Google Cloud Platform en la que Atlas Kubernetes Operator crea un nuevo contenedor. Si no especifica
containerRegion, debe especificar elcontainerIdde un contenedor existente. Para aprender más, consulte la sección Use Existing Container de este procedimiento.spec.networkPeers.gcpProjectIdIdentificador único para tu proyecto de Google Cloud. Google Cloud muestra el ID del grupo en la página de detalles del Proyecto.
spec.networkPeers.routeTableCidrBlockBloque CIDR para tu Google Cloud VPC. Google Cloud muestra el bloque CIDR en la página de detalles de tu VPC.
spec.networkPeers.networkNameEtiqueta legible por humanos para su Google Cloud VPC. Google Cloud muestra el nombre de red en la página de detalles de tu VPC.
Ejecuta el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: atlas.mongodb.com/v1 kind: AtlasProject metadata: name: my-project spec: name: Test Atlas Operator Project networkPeers: - providerName: "GCP" atlasCidrBlock: "10.8.0.0/21" gcpProjectId: "12345678" networkName: "my-vpc" EOF
Verifica el estado de PENDING ACCEPTANCE.
Ejecuta el siguiente comando:
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.status}' PENDING ACCEPTANCE Si el valor de
statusesPENDING ACCEPTANCE, pasa al siguiente paso. Si elstatusno esPENDING ACCEPTANCE, espera unos minutos y vuelve a intentar este paso.
Cree la conexión de emparejamiento de VPC en Google Cloud.
Para obtener más información, consulta Uso de emparejamiento de red de VPC.
Comprueba el estado de tu conexión VPC utilizando Atlas Kubernetes Operator.
Ejecute el siguiente comando de nuevo para comprobar el estado de la conexión VPC. Atlas Kubernetes Operator devuelve READY cuando la conexión peering de red está completa.
kubectl get atlasprojects my-project -o=jsonpath='{.status.networkPeers.status}'
READY