Valores de configuración externa para MongoDB autogestionado

Utilice la directiva de expansión __rest.

La directiva de expansión __rest carga los valores del archivo de configuración desde un punto final REST. __rest admite la carga de valores específicos en el archivo de configuración o la carga del archivo de configuración completo.

storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  bindIp: 192.51.100.24,127.0.0.1
  tls:
    mode: requireTLS
    certificateKeyFile: "/etc/tls/mongod.pem"
    certificateKeyFilePassword:
      __rest: "https://myrestserver.example.net/api/config/myCertKeyFilePassword"
      type: "string"

__rest: "https://myrestserver.example.net/api/config/fullConfig"
type: "yaml"

Utilice la directiva de expansión __exec.

La directiva de expansión __exec carga los valores del archivo de configuración desde un comando de shell o terminal. __exec permite cargar valores específicos en el archivo de configuración o cargar el archivo de configuración completo.

storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  bindIp: 192.51.100.24,127.0.0.1
  tls:
    mode: requireTLS
    certificateKeyFile: "/etc/tls/mongod.pem"
    certificateKeyFilePassword:
      __exec: "python /home/myUserName/getPEMPassword.py"
      type: "string"

__exec: "python /home/myUserName/getFullConfig.py"
type: "yaml"

Referencia de las directrices de expansión

__rest

La directiva de expansión __rest carga los valores del archivo de configuración desde un punto final REST. __rest admite la carga de valores específicos en el archivo de configuración o la carga del archivo de configuración completo. A continuación, mongod comienza a utilizar los valores de origen externo como parte de su configuración.

La directiva de expansión __rest tiene la siguiente sintaxis:

• Para especificar un endpoint de REST para un ajuste o ajustes de archivo de configuración:

  <some configuration file setting>:
    __rest: "<string>"
    type: "string"
    trim: "none|whitespace"
    digest: "<string>"
    digest_key: "<string>"

• Para especificar un endpoint REST para todo el archivo de configuración:

  __rest: "<string>"
  type: "yaml"
  trim: "none|whitespace"

  Si especificas el archivo de configuración completo vía el endpoint REST, la directiva de expansión y sus opciones deben ser los únicos valores especificados en el archivo de configuración.

__rest requiere los siguientes campos:

Campo	Tipo	Descripción
__rest	string	Obligatorio La URL contra la que el mongod emite una solicitud GET para recuperar el valor de origen externo. Para los puntos finales REST que no son localhost (por ejemplo, un punto final REST alojado en un servidor remoto), __rest requiere URL cifradas (https://) donde tanto la máquina host como el servidor remoto admiten TLS 1.1 o posterior. Si el punto final REST especificado en la URL requiere autenticación, codifique las credenciales en la URL con el formato estándar de información de usuario RFC 3986. Para los puntos finales REST de localhost (por ejemplo, un punto final REST que escucha en la máquina host), __rest permite URL no cifradas (http://). IMPORTANTE: El valor devuelto por el punto final REST especificado no puede incluir directivas de expansión adicionales. El mongod no realiza procesamiento adicional en los datos devueltos y finalizará con un código de error si los datos devueltos incluyen directivas de expansión adicionales.
type	string	Opcional Controla cómo __rest analiza el valor devuelto desde la URL especificada. Los valores posibles son: string (por defecto) Indica a __rest que analice los datos devueltos como una cadena literal. Si se especifica string, todo el bloque __rest y las opciones de soporte deben estar anidados bajo el campo para el que se cargan valores de origen externo. yaml Indica a __rest que analice los datos devueltos como un archivo con formato yaml. Si se especifica yaml, el bloque __rest debe ser el único contenido del archivo de configuración. El bloque mongod reemplaza el contenido del archivo de configuración con el yaml obtenido del recurso REST.
trim	string	Opcional: especifique whitespace para indicarle a __rest que elimine cualquier espacio en blanco inicial o final, específicamente las ocurrencias de " ", "\r", "\n", "\t", "\v" y "\f". Por defecto, se usa none, o no se elimina ningún espacio en blanco.
digest	string	opcional. La salida HMAC-SHA256 del resultado de la expansión, calculada como HMAC-SHA256(digest_key, message), donde message es el valor de la configuración que se va a recuperar. Si se especifica, también debe especificar la clave digest.
digest_key	string	Opcional. La representación en cadena hexadecimal de caracteres 64 de la clave de bytes 32 utilizada para calcular el resumen HMAC-SHA256 del resultado de la expansión. Si se especifica, también debe especificar el resumen. Por ejemplo, supongamos que el certificateKeyFilePassword es "superSecret123". Para recuperar esta contraseña mediante una solicitud REST o una llamada al servicio exec, debe generar una clave de resumen y usarla para calcular el resumen de su contraseña. Ejecute el siguiente código en su terminal para generar una clave de resumen de 32bytes: openssl rand -hex 32 Ver resultado Después de generar una clave de resumen, puede usarla para calcular el resumen de su contraseña: echo -ne "superSecret123" | openssl dgst -sha256 -mac hmac -macopt hexkey:f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 Ver resultado

Nota

• Si el archivo de configuración incluye la expansión __rest, en Linux/macOS, el acceso de lectura al archivo de configuración debe limitarse únicamente al usuario que ejecuta el proceso mongod / mongos.

• Para habilitar el análisis de la directiva de expansión __rest, inicie el mongod con la opción --configExpand "rest".

Para ver ejemplos, consulte el uso de la directiva de expansión __rest.

__exec

La directiva de expansión __exec carga los valores del archivo de configuración desde la salida de un comando de shell o terminal. __exec permite cargar valores específicos del archivo de configuración o cargar el archivo de configuración completo. A continuación, mongod comienza a utilizar los valores externos como parte de su configuración.

La directiva de expansión __exec tiene la siguiente sintaxis:

• Para especificar un comando shell o de terminal para una configuración específica o configuraciones en un archivo de configuración:

  <some configuration file setting>:
    __exec: "<string>"
    type: "string"
    trim: "none|whitespace"

• Para especificar un shell o comando de terminal para todo el archivo de configuración:

  __exec: "<string>"
  type: "yaml"
  trim: "none|whitespace"

  Si se especifica todo el archivo de configuración a través de un comando de terminal o shell, la directiva de expansión y sus opciones deben ser los únicos valores especificados en el archivo de configuración.

__exec requiere los siguientes campos:

Campo	Tipo	Descripción
__exec	string	Obligatorio El string que el mongod ejecuta en la terminal o shell para recuperar el valor de origen externo. En los hosts Linux y OSX, la ejecución se gestiona mediante POSIX popen(). En los hosts de Windows, la ejecución se gestiona a través de la API de control de procesos. __exec abre una pipe de solo lectura como el mismo usuario que inició mongod o mongos. IMPORTANTE: Los datos devueltos al ejecutar el comando especificado no pueden incluir ninguna directiva de expansión adicional. El mongod no realiza procesamiento adicional en los datos devueltos y finalizará con un código de error si los datos devueltos incluyen directivas de expansión adicionales.
type	string	Opcional Controla cómo __exec analiza el valor devuelto por el comando ejecutado. Los valores posibles son: string (por defecto ) Indica a __exec que analice los datos devueltos como una cadena literal. Si se especifica string, todo el bloque __exec y las opciones de soporte deben estar anidados bajo el campo para el que se cargan valores de origen externo. yaml Indica a __exec que analice los datos devueltos como un archivo con formato yaml. Si se especifica yaml, el bloque __exec debe ser el único contenido del archivo de configuración. El mongod reemplaza el contenido del archivo de configuración con el yaml obtenido del comando ejecutado.
trim	string	Opcional: especifique whitespace para indicarle a __exec que elimine cualquier espacio en blanco inicial o final, específicamente las ocurrencias de " ", "\r", "\n", "\t", "\v" y "\f". Por defecto, se usa none, o no se elimina ningún espacio en blanco.
digest	string	opcional. La salida HMAC-SHA256 del resultado de la expansión, calculada como HMAC-SHA256(digest_key, message), donde message es el valor de la configuración que se va a recuperar. Si se especifica, también debe especificar la clave digest_key.
digest_key	string	Opcional. La representación en cadena hexadecimal de caracteres 64 de la clave de bytes 32 utilizada para calcular el resumen HMAC-SHA256 del resultado de la expansión. Si se especifica, también debe especificar el resumen Por ejemplo, supongamos que el certificateKeyFilePassword es "superSecret123". Para recuperar esta contraseña mediante una solicitud REST o una llamada al servicio exec, debe generar una clave de resumen y usarla para calcular el resumen de su contraseña. Ejecute el siguiente código en su terminal para generar una clave de resumen de 32bytes: openssl rand -hex 32 Ver resultado Después de generar una clave de resumen, puede usarla para calcular el resumen de su contraseña: echo -ne "superSecret123" | openssl dgst -sha256 -mac hmac -macopt hexkey:f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 Ver resultado

Nota

• Si el archivo de configuración incluye la expansión __exec, en Linux/macOS, el acceso de escritura al archivo de configuración debe limitarse únicamente al usuario que ejecuta el proceso mongod / mongos.

• Para habilitar el análisis de las directivas de expansión __exec, inicie el mongod con la opción --configExpand "exec".

Para ver ejemplos, consulte el uso de la directiva de expansión __exec.

Genere el archivo de configuración con los valores resueltos de la directiva de expansión

Puede probar la salida final de un archivo de configuración que especifica una o más directivas de expansión iniciando el mongod con la opción --outputConfig. Un mongod iniciado con --outputConfig genera el documento de configuración YAML resuelto en stdout y se detiene. Si alguna directiva de expansión especificada en el archivo de configuración devuelve directivas de expansión adicionales, el mongod genera un error y finaliza.

Por ejemplo, el siguiente archivo de configuración mongod.conf contiene una directiva de expansión __rest:

storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  port:
    __rest: "https://mongoconf.example.net:8080/record/1"
    type: string

La string grabada en la URL especificada es 20128

Si el archivo de configuración incluye la expansión __rest, en Linux/macOS, el acceso de lectura al archivo de configuración debe limitarse únicamente al usuario que ejecuta el proceso mongod / mongos.

Inicia el mongod con las opciones --configExpand "rest" y --outputConfig:

mongod -f mongod.conf --configExpand rest --outputConfig

El mongod emite lo siguiente a stdout antes de finalizar:

config: mongod.conf
storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  port: 20128
outputConfig: true