Actualizar el conjunto de réplicas autogestionadas para la autenticación de archivo de claves (sin tiempo de inactividad)

Crear el usuario administrador

Conéctese a la base de datos principal para crear un usuario con userAdminAnyDatabase el rol. El userAdminAnyDatabase rol otorga acceso a la creación de usuarios en cualquier base de datos de la implementación.

El siguiente ejemplo crea al usuario fred con el rol userAdminAnyDatabase en la base de datos admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: " passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Al completar este procedimiento, cualquier cliente que administre usuarios en el set de réplicas debe autenticarse como este usuario, o como un usuario con permisos similares.

Consulta Roles de usuario de base de datos para obtener una lista completa de roles integrados y relacionados con las operaciones de administración de bases de datos.

Crea el administrador del clúster.

Conéctate al primario para crear un usuario con el rol de clusterAdmin. El clusterAdmin rol otorga acceso a las operaciones de replicación, como la configuración del set de réplicas.

El siguiente ejemplo crea al usuario ravi con el rol clusterAdmin en la base de datos admin.

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ] 
  }
)

Al finalizar este procedimiento, cualquier cliente que administre o mantenga el set de réplicas debe autenticarse como este usuario, o un usuario con permisos similares.

Consulta Roles de administración del clúster para obtener una lista completa de los roles incorporados relacionados con las operaciones del set de réplicas.

Crea usuarios para las aplicaciones de clientes.

Cree usuarios para permitir que la aplicación cliente se conecte e interactúe con el set de réplicas. Al finalizar este tutorial, los clientes deben autenticarse como un usuario configurado para conectarse al set de réplicas.

Consultar Roles de usuario de base de datos para roles básicos incorporados que se pueden utilizar en la creación de usuarios de solo lectura y lectura-escritura.

Lo siguiente crea un usuario con permisos de lectura y guardar en la base de datos foo.

Crear un usuario con el rol readWrite en la base de datos foo.

db.getSiblingDB("foo").createUser(
  {
    "user" : "joe",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "readWrite", "db" : "foo" } ] 
  }
)

Los clientes que se autentican como este usuario pueden realizar operaciones de lectura y escritura en la base de datos foo. Consulta Autenticar a un usuario con implementaciones autogestionadas para obtener más información sobre cómo crear una conexión autenticada al set de réplicas.

Consulta el tutorial Agregar Usuarios para obtener más información sobre cómo añadir usuarios. Considera las mejores prácticas de seguridad al agregar nuevos usuarios.

Actualizar aplicaciones del cliente

En este punto del procedimiento, el set de réplicas no aplica la autenticación. Sin embargo, las aplicaciones cliente aún pueden especificar credenciales de autenticación y conectarse al set de réplicas.

Actualice las aplicaciones cliente para autenticarse con el set de réplicas utilizando un usuario configurado. Las conexiones autenticadas requieren un nombre de usuario, una contraseña y la base de datos de autenticación. Consulta Autenticar a un usuario mediante implementaciones autogestionadas.

Por ejemplo, la siguiente se conecta a un set de réplicas llamado mongoRepl y se autentica como el usuario joe.

mongosh  -u joe -password  -authenticationDatabase foo --host mongoRepl/mongo1.example.net:27017, mongo2.example.net:27017, mongo3.example.net:27017

Si no especificas la contraseña para la opción de línea de comandos -p, mongosh solicita la contraseña.

Si tu aplicación utiliza un controlador de MongoDB, consulta la documentación del controlador asociado para obtener instrucciones sobre cómo crear una conexión autenticada.

Al finalizar este tutorial, el set de réplicas rechaza las conexiones de clientes no autenticados. Realizar este paso garantiza ahora que los clientes puedan conectarse al set de réplicas antes y después de la transición.

Crea un archivo de claves.

Con la autenticación keyfile, cada instanciasmongod del set de réplicas utiliza el contenido del keyfile como contraseña compartida para autenticar a otros miembros en la implementación. Solo mongod instancias con el archivo de clave correcto pueden unirse al set de réplicas.

La longitud de una clave debe estar entre 6 y 1024 caracteres y solo puede contener caracteres del conjunto base64. Todos los miembros del set de réplicas deben compartir al menos una clave común.

Se puede generar un archivo de claves utilizando cualquier método que se elija. Por ejemplo, la siguiente operación utiliza openssl para generar un string de caracteres complejo pseudoaleatorio de 1024 caracteres que se utilizará como contraseña compartida. Luego utiliza chmod para cambiar los permisos del archivo para proporcionar permisos de lectura solo al propietario del archivo:

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

Consultar Keyfiles para obtener más información y requisitos para el uso de los keyfiles.

Copiar el archivo de claves a cada miembro del Set de réplicas.

Copia el archivo de claves en cada servidor que aloje a los miembros del Set de réplicas. Asegúrate de que el usuario que ejecuta las instancias de mongod sea el propietario del archivo y pueda acceder al archivo de claves.

Evitar almacenar el archivo de claves en medios de almacenamiento que puedan desconectarse fácilmente del hardware que aloja las instancias de mongod, como una unidad USB o un dispositivo de almacenamiento conectado a la red.

Reinicie cada nodo secundario o árbitro del set de réplicas con transitionToAuth.

Reinicia cada secundario o árbitro en el set de réplicas, incluyendo en la configuración:

• El ajuste security.transitionToAuth. Iniciar el mongod con security.transitionToAuth configurado en true coloca la instancia en un estado de transición donde puede aceptar y crear conexiones tanto autenticadas como no autenticadas.

• Un mecanismo de autenticación interno security.keyFile como.

Debes reiniciar cada nodo uno a la vez para asegurar que la mayoría de los nodos del conjunto de réplicas permanezcan en línea.

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>

Especifique la opción --config con la ruta al archivo de configuración al iniciar el mongod.

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

Alternativamente, puedes utilizar las opciones de línea de comandos equivalentes mongod (por ejemplo, --transitionToAuth y --keyFile) al iniciar tu mongod. Consulta la mongod página de referencia para obtener una lista completa de las opciones.

Incluye configuraciones adicionales según corresponda para tu implementación.

Al finalizar este paso, todos los secundarios y árbitros deberían estar en funcionamiento con security.transitionToAuth configurados en true.

Bajar el miembro primario del set de réplicas y reiniciarlo con --transitionToAuth.

Reducir a un primario en el set de réplicas y reinicie el nodo, incluso en su configuración:

• El ajuste security.transitionToAuth. Iniciar el mongod con security.transitionToAuth configurado en true coloca la instancia en un estado de transición donde puede aceptar y crear conexiones tanto autenticadas como no autenticadas.

• Un mecanismo de autenticación interno security.keyFile como.

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>
  

Inicie el mongod utilizando el archivo de configuración.

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

Alternativamente, puedes utilizar las opciones de línea de comandos equivalentes mongod (por ejemplo, --transitionToAuth y --keyFile) al iniciar tu mongod. Consulta la mongod página de referencia para obtener una lista completa de las opciones.

Incluye configuraciones adicionales según corresponda para tu implementación.

Al final de este paso, todos los miembros del conjunto de réplicas deben estar en funcionamiento con establecido security.transitionToAuth en true y security.keyFile establecido en la ruta del archivo clave.

Reinicia los secundarios y árbitros sin --transitionToAuth

Reinicie cada nodo secundario o árbitro en el set de réplicas, removiendo la opción security.transitionToAuth al reiniciar. Debes hacer esto uno a la vez para asegurarte de que la mayoría de los miembros del set de réplicas permanezcan en línea.

Si la mayoría de los miembros del conjunto de réplicas están fuera de línea al mismo tiempo, el conjunto de réplicas puede pasar al modo de solo lectura.

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>

Inicia la mongod usando el archivo de configuración:

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

También puede usar las mongod opciones equivalentes al iniciar su.mongod Consulte la página de referencia para obtener una lista completa de opciones.mongod

Incluye configuraciones adicionales según corresponda para tu implementación.

Al finalizar este paso, todos los secundarios y árbitros deberían estar en funcionamiento con la autenticación interna configurada, pero security.transitionToAuthsin. Los clientes solo pueden conectarse a estas mongod instancias mediante el mecanismo de autenticación de cliente configurado.

Baje y reinicie el miembro del conjunto de réplicas principal --transitionToAuthsin.

Despromociona al miembro principal en el set de réplicas y luego reinícialo sin la opción security.transitionToAuth.

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
  

Inicia la mongod usando el archivo de configuración:

mongod --config <path-to-config-file>

Para obtener más información sobre el archivo de configuración, consultar opciones del archivo de configuración.

También puedes utilizar las opciones equivalentes mongod al iniciar tu mongod. Consulta la página de referencia de mongod para ver la lista completa de opciones.

Incluye configuraciones adicionales según corresponda para tu implementación.

Al finalizar este paso, todos los miembros del conjunto de réplicas deberían estar en funcionamiento con la autenticación activada. Los clientes solo pueden conectarse a estas instancias mediante el mecanismo de autenticación de cliente mongod configurado.