Usa el plugin kubectl mongodb para:
Antes de comenzar, instale el plugin de kubectl MongoDB.
El kubectl mongodb plugin tiene los siguientes subcomandos:
subcomando configurar
El subcomando kubectl mongodb multicluster setup configura la implementación inicial de MongoDB en múltiples clústeres Kubernetes. Realiza las siguientes acciones:
Crea un ConfigMap por defecto llamado
mongodb-kubernetes-operator-member-listque contiene todos los nodos clústeres de la implementación multi-Kubernetes de MongoDB. Este nombre está codificado y no puedes cambiarlo. Ver Problemas conocidos.Crea ServiceAccounts, Roles, ClusterRoles, RoleBindings y ClusterRoleBindings en el clúster de operador y cada clúster nodo.
Aplica los permisos correctos para las cuentas de servicio.
Utiliza la configuración anterior para crear tu implementación MongoDB multi-clúster de Kubernetes.
Opciones de subcomando de configuración
El subcomando setup del plugin kubectl mongodb tiene las siguientes opciones:
Opción | Tipo de dato | Descripción |
|---|---|---|
| string | Requerido. Clúster central en el que se implementará el Operador de Kubernetes, como: |
| string | Obligatorio. Namespace donde se implementará el operador de Kubernetes, como: |
| booleano | opcional. Bandera que indica si se deben borrar todos los recursos creados previamente, excepto los espacios de nombres. El valor por defecto es |
| booleano | opcional. Bandera que indica si se deben crear ClusterRole y ClusterRoleBindings para clústeres nodos. El valor por defecto es |
| booleano | Opcional. Indicador que especifica si se deben crear secretos para las cuentas de servicio en el servidor API de Kubernetes. El valor predeterminado |
| booleano | opcional. Señalización que indica si se deben instalar las cuentas de servicio y roles necesarios para ejecutar cargas de trabajo de MongoDB en los clústeres nodos. El valor por defecto es |
| booleano | opcional. Señal que indica si las cuentas de servicio que crea el plugin |
| string | Obligatorio. Lista separada por comas que contiene clústeres nodos, como: |
| string | Opcional. Ruta a un paquete de CA codificado en PEM que el operador de Kubernetes utiliza para acceder al servidor API de Kubernetes de un clúster miembro, en formato |
| string | Obligatorio. Espacio de nombres al que se implementarán los recursos del clúster nodo, como: |
| string | opcional. Nombre de la cuenta de servicio que el Operador de Kubernetes debe usar para comunicarse con los clústeres nodos. El valor por defecto es |
Para ver un ejemplo completo del uso del subcomando kubectl mongodb plugin setup, consulta el inicio rápido de múltiples clústeres de Kubernetes.
Recuperar subcomando
El subcomando kubectl mongodb multicluster puede recuperar automáticamente una topología de clúster fallida en algunos casos. En otros casos, debe recuperarse manualmente de una falla. Para obtener más información, consulta Recuperación ante Desastres.
opciones del subcomando recover
El subcomando recover del plugin kubectl mongodb tiene las siguientes opciones:
Opción | Tipo de dato | Descripción |
|---|---|---|
| string | Requerido. Clúster central en el que se implementará el Operador de Kubernetes, como: |
| string | Obligatorio. Namespace donde se implementará el operador de Kubernetes, como: |
| booleano | opcional. Bandera que indica si se deben borrar todos los recursos creados previamente, excepto los espacios de nombres. El valor por defecto es |
| booleano | opcional. Bandera que indica si se deben crear ClusterRole y ClusterRoleBindings para clústeres nodos. El valor por defecto es |
| string | Opcional. Ruta a un paquete de CA codificado en PEM que el operador de Kubernetes utiliza para acceder al servidor API de Kubernetes de un clúster miembro, en formato |
Para un ejemplo completo del uso del subcomando kubectl mongodb plugin recover, consulta el procedimiento manual de recuperación ante desastres.
Paquetes de CA personalizados para clústeres miembros
De forma predeterminada, el complemento kubectl mongodb lee la CA de cada clúster miembro desde el secreto del token de la cuenta de servicio de ese clúster y la escribe en el secreto mongodb-enterprise-operator-multi-cluster-kubeconfig generado. En algunos casos, es posible que desee proporcionar un paquete de CA personalizado, por ejemplo: cuando la ruta de red desde el operador de Kubernetes hasta el servidor de la API de Kubernetes de un clúster miembro finaliza TLS en otro lugar, como en un proxy o balanceador de carga que presenta su propio certificado. Utilice la opción member-cluster-ca para proporcionar un paquete de CA personalizado.
El siguiente comando proporciona un paquete CA para dos de los tres clústeres miembros:
kubectl mongodb multicluster setup \ --central-cluster="operator-cluster" \ --member-clusters="cluster-1,cluster-2,cluster-3" \ --member-cluster-namespace=mongodb \ --central-cluster-namespace=mongodb \ --member-cluster-ca cluster-1=/path/to/cluster-1-ca.pem \ --member-cluster-ca cluster-2=/path/to/cluster-2-ca.pem
En el ejemplo anterior, cluster-3 mantiene en secreto la CA de su token de cuenta de servicio.
Requisitos del paquete CA
El complemento kubectl mongodb copia el contenido del archivo en el secreto KubeConfig sin modificarlo, por lo que solo se deben pasar los certificados. Cada archivo debe cumplir los siguientes requisitos:
Contiene al menos un certificado codificado en formato PEM.
No contiene clave privada. Un paquete que exporta un terminador TLS podría colocar la clave del servidor junto a su certificado. El complemento rechaza dicho paquete con el error
found a private key (<block type> block), pass certificates only.
El complemento también devuelve un error si se pasa un par <member-cluster-name>=<path-to-pem-file> mal formado, se nombra un clúster miembro que member-clusters no enumera o se nombra el mismo clúster miembro más de una vez.
Carreras repetidas
Los subcomandos setup y recover regeneran el secreto completo de KubeConfig. Si omite un clúster miembro de member-cluster-ca en una ejecución posterior, ese clúster volverá a usar la CA de su token de cuenta de servicio. Para conservar una CA personalizada, asegúrese de volver a pasar la opción member-cluster-ca cada vez que ejecute cualquiera de los subcomandos para cada clúster miembro que la requiera.
Cuando un subcomando reemplaza una CA que no coincide con el secreto del token de la cuenta de servicio del clúster miembro, el complemento imprime una advertencia similar a la siguiente:
Warning: replacing the CA for member cluster cluster-1, which does not match its ServiceAccount token secret. Pass --member-cluster-ca cluster-1=<path-to-pem-file> to keep a custom CA.
La advertencia es meramente informativa. El subcomando se completa igualmente y escribe el nuevo secreto de KubeConfig.