Actualización del clúster fragmentado autogestionado a la autenticación mediante archivo de claves

Crea un archivo de claves.

Con la autenticación por archivo clave, cada instancia de mongod o mongos en el clúster particionado utiliza el contenido del archivo clave como la contraseña compartida para autenticar a otros nodos en la implementación. Solo las instancias mongod o mongos con el fichero de clave correcto pueden unirse al clúster fragmentado.

La longitud de una clave debe estar entre 6 y 1024 caracteres y solo puede contener caracteres en base64. Todos los miembros del clúster fragmentado deben compartir al menos una clave común.

Se puede generar un archivo de claves utilizando cualquier método que se elija. Por ejemplo, la siguiente operación utiliza openssl para generar un string de caracteres complejo pseudoaleatorio de 1024 caracteres que se utilizará como contraseña compartida. Luego utiliza chmod para cambiar los permisos del archivo para proporcionar permisos de lectura solo al propietario del archivo:

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

Consultar Keyfiles para obtener más información y requisitos para el uso de los keyfiles.

Copia el archivo clave a cada componente en el clúster fragmentado.

Cada servidor que hospeda un mongod o un mongos componente del clúster fragmentado debe contener una copia del archivo clave.

Copia el archivo de claves en cada servidor que hospede los nodos del clúster. Asegúrese de que el usuario que ejecuta las instancias mongod o mongos sea el propietario del archivo y pueda acceder al keyfile.

Evita almacenar el archivo de claves en medios de almacenamiento que puedan desconectarse fácilmente del hardware que aloja las instancias de mongod o mongos, como una unidad USB o un dispositivo de almacenamiento conectado a la red.

Desactivar el balanceador.

Conecta mongosh a un mongos.

sh.stopBalancer()

El balanceador puede no detenerse inmediatamente si hay una migración en curso. El método sh.stopBalancer() bloquea el shell hasta que el balanceador se detiene.

A partir de MongoDB 6.0.3, la división automática de fragmentos no se realiza. Esto se debe a mejoras en la política de balanceo. Los comandos de división automática aún existen, pero no realizan ninguna operación. Para más información, consulte Cambios en la política de balanceo.

En versiones de MongoDB anteriores a 6.0.3, también deshabilita la división automática para el clústersh.stopBalancer() fragmentado.

Utiliza sh.getBalancerState() para verificar que el balanceador se haya detenido.

sh.getBalancerState()

Consulta Gestor de Balanceador de clúster para tutoriales sobre cómo configurar el comportamiento del balanceador del clúster.

Cierra todas las instancias mongos para el clúster particionado.

Conecte mongosh a cada mongos y apáguelos.

Utiliza el db.shutdownServer() método en la base de datos admin para apagar con seguridad el mongos:

db.getSiblingDB("admin").shutdownServer()

Repetí hasta que todas las instancias de mongos en el clúster estén fuera de línea.

Una vez completado este paso, todas las instancias mongos en el clúster deberían estar fuera de línea.

Apague las instancias del mongod servidor de configuración.

Conecta mongosh a cada mongod en la implementación del servidor de configuración y apágalos.

Para implementaciones de set de réplicas de servidor de configuración, apaga el miembro primario al final.

Utiliza el db.shutdownServer() método en la base de datos admin para apagar con seguridad el mongod:

db.getSiblingDB("admin").shutdownServer()

Repita hasta que todos los servidores de configuración estén fuera de línea.

Apague las instancias del mongod conjunto de réplicas de fragmentos.

Para cada mongosh de mongod de partición, conecta a cada nodo en el set de réplicas y apágalos. Apague por último el principal.

Utiliza el db.shutdownServer() método en la base de datos admin para apagar con seguridad el mongod:

db.getSiblingDB("admin").shutdownServer()

Repite este paso para cada mongod set de réplicas de partición hasta que todas las instancias en todos los sets de réplicas de partición estén desconectadas.

Una vez realizado este paso, todo el clúster fragmentado debe quedar fuera de línea.

Aplicar el control de acceso en los servidores de configuración.

Inicia cada mongod en el set de réplicas del servidor de configuración. Incluye la configuración keyFile. El ajuste keyFile aplica tanto la autenticación interna/autenticación de membresía autogestionada como el control de acceso basado en roles en implementaciones autogestionadas.

Puedes especificar la configuración de mongod ya sea a través de un archivo de configuración o de la línea de comandos.

archivo de configuración

Si utiliza un archivo de security.keyFile configuración, sharding.clusterRole para un conjunto configsvr de réplicas del servidor de configuración, establezca en la ruta del archivo de clave, en y en el nombre del conjunto de réplicas del servidor de configuración.replication.replSetName

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: configsvr
replication:
  replSetName: <setname>
storage:
   dbpath: <path>

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Inicie el mongod especificando la opción --config y la ruta al archivo de configuración.

mongod --config <path-to-config>

Línea de comandos

Si utiliza los parámetros de la línea de comandos, para un conjunto de réplicas del servidor de configuración, inicie con mongod los -keyFile parámetros, --configsvr --replSet y.

mongod --keyFile <path-to-keyfile> --configsvr --replSet <setname> --dbpath <path>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Para obtener más información sobre las opciones de la línea de comandos, consulte la página de mongod referencia.

Asegúrate de usar el nombre original del set de réplicas al reiniciar cada nodo. No puedes cambiar el nombre de un set de réplicas.

Aplicar el control de acceso para cada fragmento en el clúster fragmentado.

Al ejecutar un con mongod el keyFile parámetro se aplica tanto la autenticación interna/de membresía autoadministrada como el control de acceso basado en roles en implementaciones autoadministradas.

Inicia cada mongod en el set de réplicas mediante un archivo de configuración o la línea de comandos.

archivo de configuración

Si se utiliza un archivo de configuración, establezca la opción security.keyFile en la ruta del archivo clave y la opción replication.replSetName en el nombre original del set de réplicas.

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <setname>
storage:
   dbPath: <path>

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Inicie el mongod especificando la opción --config y la ruta al archivo de configuración.

mongod --config <path-to-config-file>

Línea de comandos

Si utiliza los parámetros de la línea de comando, inicie mongod y especifique los parámetros --keyFile --replSet y.

mongod --keyfile <path-to-keyfile> --replSet <setname> --dbpath <path>

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

Para obtener más información sobre los parámetros de inicio, consulte la página de referencia mongod.

Asegúrate de usar el nombre original del set de réplicas al reiniciar cada nodo. No puedes cambiar el nombre de un set de réplicas.

Repita este paso hasta que todos los fragmentos del clúster estén en línea.

Crear un administrador de usuarios local de Shard (opcional).

Para cada conjunto de set de réplicas de partición en el clúster, conectar mongosh al miembro primario a través de la interfaz localhost. Debes ejecutar mongosh en la misma máquina que el mongod de destino para usar la interfaz localhost.

Crea un usuario con el rol userAdminAnyDatabase en la base de datos admin. Este usuario puede crear usuarios adicionales para el set de réplicas de la partición según sea necesario. La creación de este usuario también cierra la Excepción de localhost en implementaciones autogestionadas.

El siguiente ejemplo crea el usuario local del fragmento fred en la base de datos admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(),  // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Aplicar control de acceso a los servidores mongos.

Al ejecutar un con mongod el keyFile parámetro se aplica tanto la autenticación interna/de membresía autoadministrada como el control de acceso basado en roles en implementaciones autoadministradas.

Inicia cada mongos en el set de réplicas mediante un archivo de configuración o la línea de comandos.

archivo de configuración

Si usa un archivo de configuración, configure el security.keyFile a la ruta del keyfile y el sharding.configDB al nombre del set de réplicas y al menos un nodo del set de réplicas en el formato <replSetName>/<host:port>.

security:
  keyFile: <path-to-keyfile>
sharding:
  configDB: <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

Incluye opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a la implementación o si los miembros de la implementación se ejecutan en diferentes hosts, se debe especificar la configuración net.bindIp.

Inicie el mongos especificando la opción --config y la ruta al archivo de configuración.

mongos --config <path-to-config-file>

Línea de comandos

Si utilizas parámetros de línea de comandos, inicia el mongos y especifica los parámetros --keyFile y --configdb.

mongos --keyFile <path-to-keyfile> --configdb <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

Incluir opciones adicionales según sea necesario para la configuración. Por ejemplo, si se desea que los clientes remotos se conecten a su implementación o si los miembros de su implementación se ejecutan en hosts diferentes, especificar el --bind_ip.

En este punto, todo el clúster fragmentado vuelve a estar en línea y puede comunicarse internamente mediante el archivo de claves especificado. Sin embargo, los programas externos como mongosh necesitan usar un usuario correctamente aprovisionado para leer o escribir en el clúster.

Conéctese a la instancia mongos a través de la interfaz local.

Conecta mongosh a una de las instancias de mongos a través de la interfaz localhost. Debes ejecutar mongosh en la misma máquina física que la instancia mongos.

La interfaz de localhost solo está disponible porque no se han creado usuarios para la implementación. La interfaz localhost se cierra después de la creación del primer usuario.

Crear el usuario administrador

Añadir un usuario usando el método db.createUser(). El usuario debe tener como mínimo el rol userAdminAnyDatabase en la base de datos admin.

El siguiente ejemplo crea el usuario fred en la base de datos admin:

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd:  passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Consulta Roles de usuario de base de datos para obtener una lista completa de roles integrados y relacionados con las operaciones de administración de bases de datos.

Autentícate como el administrador de usuario.

Utilice para autenticarse como administrador de usuarios para crear usuarios db.auth() adicionales:

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

Introduzca la contraseña cuando se lo pidan.

Alternativamente, conecta una nueva mongosh sesión al miembro de réplica objetivo utilizando los parámetros -u <username>, -p <password> y --authenticationDatabase "admin". Debes usar la excepción de localhost en implementaciones autogestionadas para conectar con la mongos.

mongosh -u "fred" -p  --authenticationDatabase "admin"

Si no especificas la contraseña para la opción de línea de comandos -p, mongosh solicita la contraseña.

Crear usuario administrativo para la gestión del clúster

El usuario administrador del clúster tiene el clusterAdmin rol para el clúster fragmentado y no el administrador del clúster local del fragmento.

El siguiente ejemplo crea el usuario ravi en la base de datos admin.

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

Consultar Roles de administración de clústeres para obtener una lista completa de los roles incorporados relacionados con las operaciones de sets de réplicas y clústeres.

Autenticarse como administrador del clúster.

Para realizar operaciones de particionamiento, autentíquese como un usuario clusterAdmin con el método db.auth() o una nueva sesión mongosh con los parámetros username, password y authenticationDatabase.

Inicia el balanceador.

Inicia el balanceador.

sh.startBalancer()

A partir de MongoDB 6.0.3, la división automática de fragmentos no se realiza. Esto se debe a mejoras en la política de balanceo. Los comandos de división automática aún existen, pero no realizan ninguna operación. Para más información, consulte Cambios en la política de balanceo.

En las versiones de MongoDB anteriores a la 6.0.3, sh.startBalancer() también habilita la división automática para el clúster particionado.

Use el sh.getBalancerState() para verificar que el balanceador haya comenzado.

Consulta Gestionar Balanceador de Clúster Fragmentado para tutoriales sobre el balanceador de clústeres fragmentados.

Crear usuarios adicionales (Opcional).

Cree usuarios para permitir que los clientes se conecten y accedan al clúster fragmentado. Consulte Roles de usuario de base de datos para ver los roles integrados disponibles, como read readWritey. También puede necesitar usuarios administrativos adicionales. Para obtener más información sobre los usuarios,consulte Usuarios en implementaciones autoadministradas.

Para crear usuarios adicionales, debes autenticarte como un usuario con los roles userAdminAnyDatabase o userAdmin.