Actualizar el set de réplicas autogestionado (sin tiempo de inactividad)

Crear el usuario administrador

Conéctese a la base de datos principal para crear un usuario con userAdminAnyDatabase el rol. El userAdminAnyDatabase rol otorga acceso a la creación de usuarios en cualquier base de datos de la implementación.

El siguiente ejemplo crea al usuario fred con el rol userAdminAnyDatabase en la base de datos admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: " passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Al finalizar este procedimiento, cualquier cliente que administre usuarios en el conjunto de réplicas deberá autenticarse como este usuario o un usuario con permisos similares.

Consulte Roles de usuario de la base de datos para obtener una lista completa de roles integrados y relacionados con las operaciones de administración de la base de datos.

Crea el administrador del clúster.

Conéctese al servidor principal para crear un usuario con clusterAdmin el rol. El clusterAdmin rol otorga acceso a las operaciones de replicación, como la configuración del conjunto de réplicas.

El siguiente ejemplo crea al usuario ravi con el rol clusterAdmin en la base de datos admin.

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ] 
  }
)

Al finalizar este procedimiento, cualquier cliente que administre o mantenga el conjunto de réplicas deberá autenticarse como este usuario o un usuario con permisos similares.

Consulte Roles de administración de clúster para obtener una lista completa de los roles integrados relacionados con las operaciones del conjunto de réplicas.

Crear usuarios para aplicaciones cliente.

Cree usuarios para que la aplicación cliente pueda conectarse e interactuar con el conjunto de réplicas. Al finalizar este tutorial, los clientes deben autenticarse como un usuario configurado para conectarse al conjunto de réplicas.

Consultar Roles de usuario de base de datos para roles básicos incorporados que se pueden utilizar en la creación de usuarios de solo lectura y lectura-escritura.

Lo siguiente crea un usuario con permisos de lectura y escritura en la base de datos foo.

Cree un usuario con el rol en readWrite la foo base de datos.

db.getSiblingDB("foo").createUser(
  {
    "user" : "joe",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "readWrite", "db" : "foo" } ] 
  }
)

Los clientes que se autentican como este usuario pueden realizar operaciones de lectura y escritura en la foo base de datos. Consulte "Autenticar un usuario con implementaciones autoadministradas" para obtener más información sobre cómo crear una conexión autenticada con el conjunto de réplicas.

Consulta el tutorial "Añadir usuarios"para obtener más información sobre cómo añadir usuarios. Ten en cuenta las prácticas recomendadas de seguridad al añadir nuevos usuarios.

Actualizar aplicaciones cliente

En este punto del procedimiento, el conjunto de réplicas no aplica la autenticación. Sin embargo, las aplicaciones cliente aún pueden especificar credenciales de autenticación y conectarse al conjunto de réplicas.

Actualice las aplicaciones cliente para que se autentiquen en el conjunto de réplicas mediante un usuario configurado. Las conexiones autenticadas requieren un nombre de usuario, una contraseña y la base de datos de autenticación. Consulte Autenticar un usuario con implementaciones autoadministradas.

Por ejemplo, lo siguiente se conecta a un conjunto de réplicas llamado mongoRepl y se autentica como el usuario joe.

mongosh  -u joe -password  -authenticationDatabase foo --host mongoRepl/mongo1.example.net:27017, mongo2.example.net:27017, mongo3.example.net:27017

Si no especificas la contraseña para la opción de línea de comandos -p, mongosh solicita la contraseña.

Si su aplicación utiliza un controlador MongoDB, consulte la documentación del controlador asociado para obtener instrucciones sobre cómo crear una conexión autenticada.

Al finalizar este tutorial, el set de réplicas rechaza las conexiones de clientes no autenticados. Realizar este paso garantiza ahora que los clientes puedan conectarse al set de réplicas antes y después de la transición.

Crea un archivo de claves.

Con la autenticación keyfile, cada instanciasmongod del set de réplicas utiliza el contenido del keyfile como contraseña compartida para autenticar a otros miembros en la implementación. Solo mongod instancias con el archivo de clave correcto pueden unirse al set de réplicas.

La longitud de una clave debe estar entre 6 y 1024 caracteres y solo puede contener caracteres del conjunto base64. Todos los miembros del set de réplicas deben compartir al menos una clave común.

Se puede generar un archivo de claves utilizando cualquier método que se elija. Por ejemplo, la siguiente operación utiliza openssl para generar un string de caracteres complejo pseudoaleatorio de 1024 caracteres que se utilizará como contraseña compartida. Luego utiliza chmod para cambiar los permisos del archivo para proporcionar permisos de lectura solo al propietario del archivo:

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

Consultar Keyfiles para obtener más información y requisitos para el uso de los keyfiles.

Copiar el archivo de claves a cada miembro del Set de réplicas.

Copia el archivo de claves en cada servidor que aloje a los miembros del Set de réplicas. Asegúrate de que el usuario que ejecuta las instancias de mongod sea el propietario del archivo y pueda acceder al archivo de claves.

Evitar almacenar el archivo de claves en medios de almacenamiento que puedan desconectarse fácilmente del hardware que aloja las instancias de mongod, como una unidad USB o un dispositivo de almacenamiento conectado a la red.

Reinicie cada nodo secundario o árbitro del set de réplicas con transitionToAuth.

Reinicie cada miembro secundario o árbitro en el conjunto de réplicas, incluso en la configuración:

• La configuraciónsecurity.transitionToAuth. Al iniciarmongodconsecurity.transitionToAuthestablecido en true, la instancia pasa a un estado de transición donde puede aceptar y crear conexiones autenticadas y no autenticadas.

• Un mecanismo de autenticación interno security.keyFile como.

Debe reiniciar cada miembro uno a la vez para garantizar que la mayoría de los miembros del conjunto de réplicas permanezcan en línea.

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>

Especifique la opción --config con la ruta al archivo de configuración al iniciar el mongod.

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

Como alternativa, puede usar las mongod opciones de línea de comandos equivalentes (p. ej., y) al mongod iniciar. Consulte--transitionToAuth --keyFile mongod la página de referencia de para obtener una lista completa de opciones.

Incluya configuraciones adicionales según corresponda a su implementación.

Al final de este paso, todos los secundarios y árbitros deberían estar en funcionamiento con security.transitionToAuth establecido true en.

Baje el miembro principal del conjunto de réplicas y reinícielo --transitionToAuth con.

Reducir el miembro principal en el conjunto de réplicas y reiniciar el miembro, incluso en su configuración:

• La configuraciónsecurity.transitionToAuth. Al iniciarmongodconsecurity.transitionToAuthestablecido en true, la instancia pasa a un estado de transición donde puede aceptar y crear conexiones autenticadas y no autenticadas.

• Un mecanismo de autenticación interno security.keyFile como.

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>
  

Inicie utilizando el archivo de mongod configuración.

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

Como alternativa, puede usar las mongod opciones de línea de comandos equivalentes (p. ej., y) al mongod iniciar. Consulte--transitionToAuth --keyFile mongod la página de referencia de para obtener una lista completa de opciones.

Incluya configuraciones adicionales según corresponda a su implementación.

Al final de este paso, todos los miembros del conjunto de réplicas deben estar en funcionamiento con establecido security.transitionToAuth en true y security.keyFile establecido en la ruta del archivo clave.

Reiniciar secundarios y árbitros sin --transitionToAuth

Reinicie cada miembro secundario o árbitro del conjunto de réplicas, eliminando la security.transitionToAuth opción al reiniciar. Debe hacerlo uno a la vez para garantizar que la mayoría de los miembros del conjunto de réplicas permanezcan en línea.

Si la mayoría de los miembros del conjunto de réplicas están fuera de línea al mismo tiempo, el conjunto de réplicas puede pasar al modo de solo lectura.

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>

Inicia la mongod usando el archivo de configuración:

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

También puede usar las mongod opciones equivalentes al iniciar su.mongod Consulte la página de referencia para obtener una lista completa de opciones.mongod

Incluya configuraciones adicionales según corresponda a su implementación.

Al finalizar este paso, todos los secundarios y árbitros deberían estar en funcionamiento con la autenticación interna configurada, pero security.transitionToAuthsin. Los clientes solo pueden conectarse a estas mongod instancias mediante el mecanismo de autenticación de cliente configurado.

Baje y reinicie el miembro del conjunto de réplicas principal --transitionToAuthsin.

Baje el miembro principal en el conjunto de réplicas y luego reinícielo sin la security.transitionToAuth opción.

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
  

Inicia la mongod usando el archivo de configuración:

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

También puedes usar las mongod opciones equivalentes al iniciar mongod.mongod Consulta la página de referencia para obtener una lista completa de opciones.

Incluya configuraciones adicionales según corresponda a su implementación.

Al finalizar este paso, todos los miembros del conjunto de réplicas deberían estar en funcionamiento con la autenticación activada. Los clientes solo pueden conectarse a estas instancias mediante el mecanismo de autenticación de cliente mongod configurado.