Actualización del set de réplicas autogestionado a autenticación con archivo de claves

Crea un archivo de claves.

Con la autenticación keyfile, cada instanciasmongod del set de réplicas utiliza el contenido del keyfile como contraseña compartida para autenticar a otros miembros en la implementación. Solo mongod instancias con el archivo de clave correcto pueden unirse al set de réplicas.

La longitud de una clave debe estar entre 6 y 1024 caracteres y solo puede contener caracteres del conjunto base64. Todos los miembros del set de réplicas deben compartir al menos una clave común.

Se puede generar un archivo de claves utilizando cualquier método que se elija. Por ejemplo, la siguiente operación utiliza openssl para generar un string de caracteres complejo pseudoaleatorio de 1024 caracteres que se utilizará como contraseña compartida. Luego utiliza chmod para cambiar los permisos del archivo para proporcionar permisos de lectura solo al propietario del archivo:

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

Consultar Keyfiles para obtener más información y requisitos para el uso de los keyfiles.

Copiar el archivo de claves a cada miembro del Set de réplicas.

Copia el archivo de claves en cada servidor que aloje a los miembros del Set de réplicas. Asegúrate de que el usuario que ejecuta las instancias de mongod sea el propietario del archivo y pueda acceder al archivo de claves.

Evitar almacenar el archivo de claves en medios de almacenamiento que puedan desconectarse fácilmente del hardware que aloja las instancias de mongod, como una unidad USB o un dispositivo de almacenamiento conectado a la red.

Apague todos los miembros del conjunto de réplicas.

Apague cada del conjunto de mongod réplicas, empezando por las secundarias.Continúe hasta que todos los miembros del conjunto de réplicas estén desconectados, incluidos los árbitros. La primaria debe ser la última en apagarse para evitar posibles reversiones.

Para apagar un mongod, conecta cada mongod utilizando mongosh y ejecuta el comando db.shutdownServer() en la base de datos admin:

use admin
db.shutdownServer()

Al final de este paso, todos los miembros del set de réplicas deben estar desconectados.

Reinicie cada miembro del conjunto de réplicas con el control de acceso aplicado.

Reinicia cada mongod en el set de réplicas utilizando la configuración del archivo de configuración security.keyFile o la opción en la línea de comandos --keyFile. Ejecutar mongod con la opción de línea de comandos --keyFile o la opción en el archivo de configuración security.keyFile aplica tanto la autenticación autogestionada interna/de membresía como el control de acceso basado en roles en implementaciones autogestionadas.

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
net:
   bindIp: localhost,<hostname(s)|ip address(es)>

Inicia la mongod usando el archivo de configuración:

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

Conéctate al primario usando la interfaz localhost.

Conecta mongosh a una de las instancias de mongod a través de la interfaz localhost. Debes ejecutar mongosh en la misma máquina física que la instancia mongod.

Utiliza rs.status() para identificar al primario set de réplicas. Si estás conectado al primario, continúa con el siguiente paso. Si no, conecta mongosh al primario a través de la interfaz localhost.

Crear el usuario administrador

Añadir un usuario usando el método db.createUser(). El usuario debe tener como mínimo el rol userAdminAnyDatabase en la base de datos admin.

Debe estar conectado al primario para crear usuarios.

El siguiente ejemplo crea al usuario fred con el rol userAdminAnyDatabase en la base de datos admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Se debe ingresar la contraseña cuando se indique. Se debe consultar Roles de usuario de base de datos para ver una lista completa de los roles incorporados relacionados con las operaciones de administración de bases de datos.

Autenticarse como administrador de usuarios.

Autentícate en la base de datos admin.

En mongosh, utiliza db.auth() para autenticarte. Por ejemplo, los siguientes se autentican como el usuario administrador fred:

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

Como alternativa, conecta||||||| una nueva mongosh instancia al miembro primario del Set de réplicas utilizando los parámetros -u <username>, -p <password> y --authenticationDatabase.

mongosh -u "fred" -p  --authenticationDatabase "admin"

Si no especificas la contraseña para la opción de línea de comandos -p, mongosh solicita la contraseña.

Crea el administrador del clúster (opcional).

El usuario administrador del clúster tiene el rol clusterAdmin, que otorga acceso a operaciones de replicación.

Cree un usuario administrador del clúster y asígnele el rol de clusterAdmin en la base de datos admin:

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

Introduzca la contraseña cuando se lo pidan.

Consulta Roles de administración del clúster para obtener una lista completa de los roles incorporados relacionados con las operaciones del set de réplicas.

Crear usuarios adicionales (Opcional).

Crear usuarios para permitir que los clientes se conecten e interactúen con el set de réplicas. Consultar Roles de usuario de base de datos para roles básicos incorporados que se pueden utilizar en la creación de usuarios de solo lectura y lectura-escritura.

También puede que desees usuarios administrativos adicionales. Para obtener más información sobre los usuarios, consulta Usuarios en implementaciones autogestionadas.