Conéctese a un recurso de base de datos MongoDB desde fuera de Kubernetes

Implementa un recurso autónomo con el operador de Kubernetes.

Si no has implementado un recurso autónomo, sigue las instrucciones para implementar uno.

Este procedimiento utiliza el siguiente ejemplo:

20
---
21
apiVersion: mongodb.com/v1
22
kind: MongoDB
23
metadata:
24
  name: <my-standalone>
25
spec:
26
  version: "8.0.0"
27
  opsManager:
28
    configMapRef:
29
      name: <configMap.metadata.name>
30
            # Must match metadata.name in ConfigMap file
31
  credentials: <mycredentials>
32
  type: Standalone
33
...

Crea un servicio externo para el pod MongoDB.

Para conectarse a su recurso autónomo desde un recurso externo, configure el spec.externalAccess entorno:

externalAccess: {}

Esta configuración indica al operador de Kubernetes que cree un servicio LoadBalancer externo para el pod de MongoDB en su recurso independiente. El servicio externo proporciona un punto de entrada para las conexiones externas. Si se agrega esta configuración sin valores, se crea un servicio externo con los siguientes valores predeterminados:

Opcionalmente, si necesitas agregar valores al servicio o sobrescribir los valores por defecto, especifica:

• Anotaciones específicas para tu proveedor de nube, en spec.externalAccess.externalService.annotations

• Anulaciones para la especificación del servicio, en spec.externalAccess.externalService.spec.

Por ejemplo, los siguientes ajustes anulan los valores por defecto para el servicio externo para configurar su recurso autónomo para crear servicios NodePort que exponen el pod MongoDB:

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

Verifique los servicios externos.

En tu recurso autónomo, ejecuta el siguiente comando para verificar que el Operador de Kubernetes haya creado el servicio externo para tu implementación.

$ kubectl get services

El comando devuelve una lista de servicios similar a la salida siguiente. Para cada pod de base de datos en el clúster, el Operador de Kubernetes crea un servicio externo llamado <pod-name>-0-svc-external. Este servicio está configurado según los valores y sobrescrituras que usted proporcione en la especificación del servicio externo.

NAME                                  TYPE         CLUSTER-IP   EXTERNAL-IP       PORT(S)           AGE
<my-standalone>-0-svc-external   LoadBalancer   10.102.27.116    <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

Dependiendo de la configuración de su clúster o proveedor de nube, la dirección IP del servicio LoadBalancer es una dirección IP accesible externamente o FQDN. Puedes utilizar la dirección IP o FQDN para enrutar el tráfico desde tu dominio externo.

Prueba la conexión al recurso autónomo.

Para conectarte a tu implementación desde fuera del clúster de Kubernetes, utiliza MongoDB Shell (mongosh) y especifica la dirección del Pod de MongoDB que has expuesto a través del dominio externo.

mongosh "mongodb://<my-standalone>.<external-domain>"

Implemente un set de réplicas con el operador de Kubernetes.

Si no has implementado un set de réplicas, sigue las instrucciones para implementar uno.

Debe habilitar TLS para el conjunto de réplicas proporcionando un valor para la configuraciónspec.security.certsSecretPrefix. El conjunto de réplicas debe usar un certificado CA personalizado almacenado con spec.security.tls.ca.

Crea un servicio externo para los Pods de MongoDB.

Para conectarse a su set de réplicas desde un recurso externo, configure el spec.externalAccess escenario:

externalAccess: {}

Esta configuración indica al operador de Kubernetes que cree un servicio LoadBalancer externo para los pods de MongoDB en su conjunto de réplicas. El servicio externo proporciona un punto de entrada para las conexiones externas. Si se agrega esta configuración sin valores, se crea un servicio externo con los siguientes valores predeterminados:

Opcionalmente, si necesitas agregar valores al servicio o sobrescribir los valores por defecto, especifica:

• Anotaciones específicas para tu proveedor de nube, en spec.externalAccess.externalService.annotations

• Anulaciones para la especificación del servicio, en spec.externalAccess.externalService.spec.

Por ejemplo, la siguiente configuración anula los valores predeterminados del servicio externo para configurar su conjunto de réplicas para crear servicios NodePort que expongan los Pods de MongoDB:

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

Agregue nombres alternativos de sujeto a sus certificados TLS.

Agregue cada nombre DNS externo al SAN del certificado.

Verifique los servicios externos.

En tu set de réplicas, ejecuta el siguiente comando para verificar que el operador de Kubernetes creó el servicio externo para tu implementación.

$ kubectl get services

El comando devuelve una lista de servicios similar a la siguiente salida. Para cada pod de base de datos en el clúster, el Operador de Kubernetes crea un servicio externo llamado <pod-name>-<pod-idx>-svc-external. Este servicio se configura según los valores y las anulaciones que proporciones en la especificación del servicio externo.

NAME                                  TYPE         CLUSTER-IP   EXTERNAL-IP       PORT(S)           AGE
<my-replica-set>-0-svc-external   LoadBalancer   10.102.27.116    <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

Dependiendo de la configuración de su clúster o proveedor de nube, la dirección IP del servicio LoadBalancer es una dirección IP accesible externamente o FQDN. Puedes utilizar la dirección IP o FQDN para enrutar el tráfico desde tu dominio externo.

Abra el archivo YAML de recursos de su conjunto de réplicas.

Copie el recurso del conjunto de réplicas de ejemplo.

Modifique la configuración de este archivo YAML para que coincida con la configuración del conjunto de réplicas que desee.

1
---
2
apiVersion: mongodb.com/v1
3
kind: MongoDB
4
metadata:
5
  name: <my-replica-set>
6
spec:
7
  members: 3
8
  version: "8.0.0"
9
  type: ReplicaSet
10
  opsManager:
11
    configMapRef:
12
      name: <configMap.metadata.name>
13
  credentials: <mycredentials>
14
  persistent: true

15
  security:
16
    tls:
17
      enabled: true
18
  connectivity:
19
    replicaSetHorizons:
20
      - "example-website": "web1.example.com:30907"
21
      - "example-website": "web2.example.com:32350"
22
      - "example-website": "web3.example.com:31185"
23
...

Pega la sección del ejemplo copiado en tu recurso existente del set de réplicas.

Abra su editor de texto preferido y pegue la especificación del objeto al final de su archivo de recursos en la sección spec.

Cambie la configuración resaltada a sus valores preferidos.

Confirma los nombres de host externos y los valores de servicio externo en el recurso del set de réplicas.

Confirma que los nombres de host externos en la configuración spec.connectivity.replicaSetHorizons sean correctos.

Los nombres de host externos deben coincidir con los nombres DNS de los nodos de trabajo de Kubernetes. Estos pueden ser cualquier nodo en el clúster de Kubernetes. Los nodos de Kubernetes utilizan el enrutamiento interno si el pod se ejecuta en otro nodo.

Configura los puertos en spec.connectivity.replicaSetHorizons con los valores del servicio externo.

15
  security:
16
    tls:
17
      enabled: true
18
  connectivity:
19
    replicaSetHorizons:
20
      - "example-website": "web1.example.com:30907"
21
      - "example-website": "web2.example.com:32350"
22
      - "example-website": "web3.example.com:31185"
23
...

Guarda tu archivo de configuración del conjunto de réplicas.

Actualiza y reinicia la implementación de tu conjunto de réplicas.

En cualquier directorio, ejecute el siguiente comando de Kubernetes para actualizar y reiniciar su conjunto de réplicas:

kubectl apply -f <replica-set-conf>.yaml

Pruebe la conexión al set de réplicas.

En el entorno de desarrollo, en cada host de un set de réplicas, ejecuta el siguiente comando:

mongosh --host <my-replica-set>/web1.example.com \
      --port 30907
      --ssl \
      --sslAllowInvalidCertificates

En producción, para cada host en un conjunto de réplicas, especifique el certificado TLS y la CA para conectarse de forma segura a las herramientas o aplicaciones del cliente:

mongosh --host <my-replica-set>/web1.example.com \
  --port 30907 \
  --tls \
  --tlsCertificateKeyFile server.pem \
  --tlsCAFile ca-pem

Si la conexión es exitosa, deberías ver:

Enterprise <my-replica-set> [primary]

Implemente un clúster segmentado con el Operador de Kubernetes.

Si no ha implementado un clúster, siga las instrucciones para implementar uno.

Debe habilitar TLS para el clúster fragmentado configurando los siguientes ajustes:

Crea un servicio externo para los pods mongos.

Para conectarte a tu clúster segmentado desde un recurso externo, configura el spec.externoAcceso escenario:

externalAccess: {}

Esta configuración indica al operador de Kubernetes que cree un servicio LoadBalancer externo para los pods mongos en su clúster fragmentado. El servicio externo proporciona un punto de entrada para las conexiones externas. Si se agrega esta configuración sin valores, se crea un servicio externo con los siguientes valores predeterminados:

Opcionalmente, si necesitas agregar valores al servicio o sobrescribir los valores por defecto, especifica:

• Anotaciones específicas para tu proveedor de nube, en spec.externalAccess.externalService.annotations

• Anulaciones para la especificación del servicio, en spec.externalAccess.externalService.spec.

Por ejemplo, la siguiente configuración anula los valores predeterminados del servicio externo para configurar su clúster fragmentado para crear servicios NodePort que expongan los Pods mongos:

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

Agregue nombres alternativos de sujeto a sus certificados TLS.

Agregue cada nombre DNS externo al SAN del certificado.

Cada host de MongoDB utiliza las siguientes SAN:

<my-sharded-cluster>-<shard>-<pod-index>.<external-domain>
<my-sharded-cluster>-config-<pod-index>.<external-domain>
<my-sharded-cluster>-mongos-<pod-index>.<external-domain>

La instancia mongos utiliza la siguiente SAN:

<my-sharded-cluster>-mongos-<pod-index>-svc-external.<external-domain>

Configure el ajuste spec.security.tls.additionalCertificateDomains de forma similar al siguiente ejemplo. Cada certificado TLS que utilice debe incluir el SAN correspondiente para el fragmento, el servidor de configuración o la instancia mongos. El operador de Kubernetes valida su configuración.

1
---
2
apiVersion: mongodb.com/v1
3
kind: MongoDB
4
metadata:
5
  name: <my-sharded-cluster>
6
spec:
7
  version: "8.0.0"
8
  opsManager:
9
    configMapRef:
10
      name: <configMap.metadata.name>
11
            # Must match metadata.name in ConfigMap file
12
  shardCount: 2
13
  mongodsPerShardCount: 3
14
  mongosCount: 2
15
  configServerCount: 3
16
  credentials: my-secret
17
  type: ShardedCluster
18
  externalAccess: {}
19
  security:
20
    tls:
21
      certsSecretPrefix: <prefix>
22
      additionalCertificateDomains:
23
         - "<external-domain>"
24
...

Verifique los servicios externos.

En su clúster, ejecute el siguiente comando para verificar que el Operador de Kubernetes haya creado los servicios externos para su implementación.

$ kubectl get services

El comando devuelve una lista de servicios similar a la salida siguiente. Para cada instancia de mongos en el clúster, el operador de Kubernetes crea un servicio externo llamado <pod-name>-<pod-idx>-svc-external. Este servicio está configurado de acuerdo con los valores y las anulaciones que proporciones en la especificación de servicio externo.

NAME                                              TYPE         CLUSTER-IP     EXTERNAL-IP       PORT(S)           AGE
<my-sharded-cluster>-mongos-0-svc-external    LoadBalancer   10.102.27.116  <lb-ip-or-fqdn>   27017:27017/TCP    8m30s
<my-sharded-cluster>-mongos-1-svc-external    LoadBalancer   10.102.27.116  <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

Dependiendo de la configuración de su clúster o proveedor de nube, la dirección IP del servicio LoadBalancer es una dirección IP o FQDN accesible externamente. Puede usar la dirección IP o FQDN para enrutar el tráfico desde su dominio externo. Este ejemplo tiene dos instancias mongos, por lo que el operador de Kubernetes crea dos servicios externos.

Pruebe la conexión con el clúster particionado.

Para conectarse a su implementación desde fuera del clúster de Kubernetes, use el MongoDB Shell (mongosh) y especifique las direcciones de las instancias mongos que haya expuesto a través del dominio externo.

mongosh ""