Conectarse a un recurso multiclúster desde fuera de Kubernetes

Implementar un conjunto de réplicas de clústeres multi-Kubernetes.

Asegurar el clúster multi-Kubernetes con TLS.

Proporcione valores para:

• La SecretoTLS spec.security.certsSecretPrefix en.

• El CA certificado personalizado en spec.security.tls.ca.

Crea un servicio externo para los Pods de MongoDB.

Para conectar a tu implementación de múltiples clústeres de Kubernetes desde un recurso externo, configura el spec.externalAccess entorno:

externalAccess: {}

Esta configuración indica al operador de Kubernetes que cree un LoadBalancer externo para los pods de MongoDB en su implementación multinube de clústeres de Kubernetes. El servicio externo proporciona un punto de entrada para conexiones externas. Agregar esta configuración sin valores crea un servicio externo con los siguientes valores por defecto:

Opcionalmente, si necesitas agregar valores al servicio o sobrescribir los valores por defecto, especifica:

• Anotaciones específicas para tu proveedor de nube, en spec.externalAccess.externalService.annotations

• Anulaciones para la especificación del servicio, en spec.externalAccess.externalService.spec.

Por ejemplo, la siguiente configuración anula los valores predeterminados del servicio externo para configurar tu implementación de varios clústeres de Kubernetes para crear servicios NodePort que exponen los Pods de MongoDB:

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

Opcional: Configura un servicio externo para nodos del clúster.

Si necesitas configurar los ajustes para un nodo específico del clúster, como cuando alojas nodos en diferentes proveedores de nube, puedes anular la configuración global spec.externalAccess configuraciones para un nodo específico utilizando el spec.clusterSpecList.externalAccess.externalService ajuste.

Para agregar valores al servicio o anular los valores predeterminados para un miembro del clúster, especifique:

• Anotaciones específicas del proveedor de nube para el nodo del clúster, en spec.clusterSpecList.externalAccess.externalService.annotations.

• Anulaciones específicas para el nodo del clúster, en spec.clusterSpecList.externalAccess.externalService.spec.

Por ejemplo, el siguiente archivo configura su implementación de MongoDB de múltiples clústeres Kubernetes para crear servicios de balanceador de carga que exponen la implementación de MongoDB de múltiples clústeres Kubernetes para los miembros del clúster implementados en GKE (Google Kubernetes Engine) y AWS EKS.

clusterSpecList:
  - clusterName: gke-cluster-0.mongokubernetes.com
    members: 2
    externalAccess:
      externalService:
        annotations:
          "cloud.google.com/l4-rbs": "enabled"
  - clusterName: eks-cluster-1.mongokubernetes.com
    members: 2
    externalAccess:
      externalService:
        annotations:
          "service.beta.kubernetes.io/aws-load-balancer-type": "external",
          "service.beta.kubernetes.io/aws-load-balancer-nlb-target-type": "instance",
          "service.beta.kubernetes.io/aws-load-balancer-scheme": "internet-facing"

Agregue nombres alternativos de sujeto a su certificadoTLS.

Agregue cada nombre DNS externo al certificado SAN.

Verifique los servicios externos.

En cada clúster, ejecute el siguiente comando para verificar que el operador de Kubernetes haya creado el servicio externo para su implementación.

$ kubectl get services

El comando devuelve una lista de servicios similar a la siguiente salida. Para cada Pod de base de datos en el clúster, el Operador de Kubernetes crea un servicio externo llamado <pod-name>-<cluster-idx>-<pod-idx>-svc-external. Este servicio está configurado de acuerdo con los valores y anulaciones que proporciones en la especificación del servicio externo.

NAME                                  TYPE         CLUSTER-IP   EXTERNAL-IP       PORT(S)           AGE
<my-replica-set>-0-0-svc-external   LoadBalancer   10.102.27.116    <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

Dependiendo de la configuración de tu clúster o del proveedor de nube, la dirección IP del servicio LoadBalancer es una dirección accesible externamente o un FQDN. Puedes utilizar la dirección IP o un FQDN para dirigir el tráfico de tu dominio externo.

Actualiza tu archivo de YAML de recurso del set de réplicas.

Establece los nombres de host y puertos en spec.connectivity.replicaSetHorizons con los valores del servicio externo que creaste en el paso anterior.

Confirme que haya especificado los nombres de host externos correctos. Los nombres de host externos deben coincidir con los nombres DNS de los nodos de trabajo de Kubernetes. Estos pueden ser cualquier nodo en el clúster de Kubernetes. Si el pod se ejecuta en otro nodo, los nodos de Kubernetes utilizan enrutamiento interno.

apiVersion: mongodb.com/v1
 kind: MongoDBMultiCluster
 metadata:
  name: multi-cluster-replica-set
  namespace: mongodb
 spec:
  clusterSpecList:
   - clusterName: e2e.cluster1.example.com
     members: 1
   - clusterName: e2e.cluster2.example.com
     members: 1
   - clusterName: e2e.cluster3.example.com
     members: 1
  connectivity:
   replicaSetHorizons:
   - sample-horizon: web1.example.com:30907
   - sample-horizon: web2.example.com:30907
   - sample-horizon: web3.example.com:30907
  credentials: my-credentials
  duplicateServiceObjects: false
  opsManager:
   configMapRef:
    name: my-project
  persistent: true
  security:
   certsSecretPrefix: clustercert
   tls:
     ca: ca-issuer
  type: ReplicaSet
  version: 8.0.0"

Aplica el archivo actualizado del set de réplicas.

En cada clúster, ejecute este comando para aplicar el archivo de set de réplicas actualizado:

$ Kubectl apply -f <file_name.yaml>

Pruebe la conexión al conjunto de réplicas.

En el entorno de desarrollo, en cada host de un set de réplicas, ejecuta el siguiente comando:

mongosh --host <my-replica-set>/web1.example.com \
      --port 30907
      --ssl \
      --sslAllowInvalidCertificates

En producción, para cada host en un conjunto de réplicas, especifique el certificado TLS y la CA para conectarse de forma segura a las herramientas o aplicaciones del cliente:

mongosh --host <my-replica-set>/web1.example.com \
  --port 30907 \
  --tls \
  --tlsCertificateKeyFile server.pem \
  --tlsCAFile ca-pem

Si la conexión es exitosa, deberías ver:

Enterprise <my-replica-set> [primary]