Configurar TLS para una migración a Kubernetes

Cree el certificado y los recursos de CA a partir de la CA de origen.

Siga Configurar una integración de cert-manager o Generar certificados de cliente X.509 para crear el kubernetes.io/tls Secret llamado <certsSecretPrefix>-<resourceName>-cert, emitiendo el certificado desde la misma CA que firmó los certificados de la máquina virtual.

Cree la CA ConfigMap llamada <resourceName>-ca con una clave ca-pem obtenida de esa misma CA.

Si utiliza la autenticación de agente X.509, cree también <certsSecretPrefix>-<resourceName>-agent-certs y Secret, y configure spec.security.authentication.agents.clientCertificateSecretRef para que haga referencia a ella. Este requisito se aplica únicamente a la autenticación de agente, no a la autenticación interna del clúster (spec.security.authentication.internalCluster).

Configure los campos de compatibilidad de ruta para que coincidan con la implementación de origen.

Estos campos existen únicamente para que la vista de las rutas de archivo del operador de Kubernetes coincida con la forma en que la implementación de la máquina virtual ya organiza sus certificados y archivo de clave. Configure solo aquellos que correspondan a su implementación de origen:

• spec.security.tls.caFilePathRuta absoluta a la que se proyecta la CA dentro del Pod. El valor predeterminado es /mongodb-automation/tls/ca/ca-pem. La ruta debe contener al menos dos segmentos. Este campo no es compatible con la base de datos de la aplicación. Si podTemplate monta otro volumen sobre esta ruta, dicho montaje oculta la CA proyectada y el agente de Ops Manager no puede leerla.

• spec.security.authentication.agents.autoPEMKeyFilePathRuta absoluta del archivo PEM combinado del agente dentro de los Pods de la base de datos. Este campo configura únicamente la autenticación del agente. Al configurar este campo, se establece el valor tls.autoPEMKeyFilePath del Administrador de operaciones y se monta el Secret referenciado por clientCertificateSecretRef en esa ruta. De forma predeterminada, utiliza una ruta de montaje de certificado de agente derivada de hash, y para configurarlo se requiere que spec.security.authentication.agents.clientCertificateSecretRef ya esté configurado. Configure este campo solo cuando la implementación de la máquina virtual utilice una ruta PEM de agente distinta a la predeterminada.

• spec.downloadBase: el directorio donde se descarga el binario del agente de Ops Manager. Por defecto es /var/lib/mongodb-mms-automation. El operador de Kubernetes deriva la ruta del archivo de clave a partir de este valor como <downloadBase>/keyfile.

Si el despliegue de origen no utiliza TLS, desactive TLS en el despliegue de origen.

Si la implementación de la máquina virtual nunca configuró TLS, establezca net.tls.mode en disabled en Ops Manager o Cloud Manager en la implementación de la máquina virtual existente antes de migrar. No configure este campo en el recurso personalizado MongoDB.

Si no se configura el modo TLS del despliegue de origen, Kubernetes Operator intenta realizar un cambio de despliegue que no coincide con la configuración de automatización de origen, ya que su vista predeterminada de TLS difiere de la de un despliegue que nunca configuró TLS. Al establecer el campo en disabled en el despliegue de origen, la vista de Kubernetes Operator coincide con la del despliegue de la máquina virtual y se evita ese cambio erróneo.

Realiza una prueba en seco para confirmar las coincidencias de CA.

Aplique el recurso con la anotación de prueba aún presente y verifique la condición NetworkConnectivityVerified. Para saber cómo interpretar el resultado y qué hacer si falla, consulte Validar la preparación para la migración con una prueba.