Kubernetes の外部から MongoDB Database リソースへの接続

Kubernetes Operator を使用してスタンドアロン リソースを配置します。

スタンドアロン リソースを配置していない場合は、手順に従ってスタンドアロン リソースを配置します。

この手順では、次の例を使用します。

20
---
21
apiVersion: mongodb.com/v1
22
kind: MongoDB
23
metadata:
24
  name: <my-standalone>
25
spec:
26
  version: "8.0.0"
27
  opsManager:
28
    configMapRef:
29
      name: <configMap.metadata.name>
30
            # Must match metadata.name in ConfigMap file
31
  credentials: <mycredentials>
32
  type: Standalone
33
...

MongoDB ポッドの外部サービスを作成します。

外部リソースからスタンドアロン リソースに接続するには、 spec.externalAccessを構成します 設定:

externalAccess: {}

この設定は、 Kubernetes Operator に対して、スタンドアロンリソース内のMongoDBポッド用の外部 LoadBalancer サービスを作成することを指示します。外部サービスは、外部接続のエントリ点を提供します。値なしでこの設定を追加すると、次のデフォルト値を持つ外部サービスが作成されます。

オプションとして、サービスに値を追加したり、デフォルト値を上書きしたりする必要がある場合は、次を指定します。

• クラウドプロバイダーに固有の注釈（ ） spec.externalAccess.externalService.annotations

• サービス仕様のオーバーライド（ spec.externalAccess.externalService.spec 。

たとえば、次の設定は外部サービスのデフォルト値を上書きし、スタンドアロン リソースを構成して NodePort サービス を作成します。 MongoDB ポッドを公開する:

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

外部サービスを確認します。

スタンドアロン リソースで次のコマンドを実行して、Kubernetes Operator が配置用の外部サービスを作成したことを確認します。

$ kubectl get services

このコマンドは、次の出力のようなサービスのリストを返します。 Kubernetes Operator は、クラスター内の各データベース<pod-name> ポッドに対して、"pod-name"-0-svc-external という名前の外部サービスを作成します。このサービスは、外部サービス仕様で指定した値とオーバーライドに従って構成されます。

NAME                                  TYPE         CLUSTER-IP   EXTERNAL-IP       PORT(S)           AGE
<my-standalone>-0-svc-external   LoadBalancer   10.102.27.116    <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

クラスター構成またはクラウドプロバイダーによっては、LoadBalancer サービスの IP アドレスは外部からアクセス可能な IP アドレスまたはFQDNになります。 IP アドレスまたはFQDNを使用して、外部ドメインからのトラフィックをルーティングできます。

スタンドアロン リソースへの接続をテストします。

Kubernetes クラスターの外部から配置に接続するには、MongoDB Shell（ mongosh ）を使用し、外部ドメインを通じて公開した MongoDB ポッド アドレスを指定します。

mongosh "mongodb://<my-standalone>.<external-domain>"

Kubernetes Operator を使用してレプリカセットを配置します。

レプリカセットを配置していない場合は、手順に従ってレプリカセットを配置します。

設定の値を指定して、レプリカセットでspec.security.certsSecretPrefix TLS を有効にする必要があります。レプリカセットでは、 に保存されたカスタム CA spec.security.tls.ca証明書を使用する必要があります。

MongoDB ポッドの外部サービスを作成します。

外部リソースからレプリカセットに接続するには、 spec.externalAccessを構成します 設定:

externalAccess: {}

この設定は、 Kubernetes Operator に対して、 レプリカセット内のMongoDBポッド用の外部 LoadBalancer サービスを作成するように指示します。外部サービスは、外部接続のエントリ点を提供します。値なしでこの設定を追加すると、次のデフォルト値を持つ外部サービスが作成されます。

オプションとして、サービスに値を追加したり、デフォルト値を上書きしたりする必要がある場合は、次を指定します。

• クラウドプロバイダーに固有の注釈（ ） spec.externalAccess.externalService.annotations

• サービス仕様のオーバーライド（ spec.externalAccess.externalService.spec 。

例、次の設定は外部サービスのデフォルト値を上書きし、 MongoDBポッドを公開する NodePort サービスを作成するようにレプリカセットを構成します。

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

TLS 証明書にサブジェクト代替名を追加します。

各外部DNS名を証明書SANに追加します。

外部サービスを確認します。

レプリカセットで次のコマンドを実行して、Kubernetes Operator が配置用の外部サービスを作成したことを確認します。

$ kubectl get services

このコマンドは、次の出力のようなサービスのリストを返します。 Kubernetes Operator は、クラスター内の各データベース<pod-name> <pod-idx>ポッドに対して、[pod-name]-[pod-idx]-svc-external という名前の外部サービスを作成します。このサービスは、外部サービス仕様で指定した値とオーバーライドに従って構成されます。

NAME                                  TYPE         CLUSTER-IP   EXTERNAL-IP       PORT(S)           AGE
<my-replica-set>-0-svc-external   LoadBalancer   10.102.27.116    <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

クラスター構成またはクラウドプロバイダーによっては、LoadBalancer サービスの IP アドレスは外部からアクセス可能な IP アドレスまたはFQDNになります。 IP アドレスまたはFQDNを使用して、外部ドメインからのトラフィックをルーティングできます。

レプリカセットリソースYAMLファイルを開きます。

サンプルレプリカセットリソースをコピーします。

この YAMLファイルの設定を、必要なレプリカセット構成に合わせて変更します。

1
---
2
apiVersion: mongodb.com/v1
3
kind: MongoDB
4
metadata:
5
  name: <my-replica-set>
6
spec:
7
  members: 3
8
  version: "8.0.0"
9
  type: ReplicaSet
10
  opsManager:
11
    configMapRef:
12
      name: <configMap.metadata.name>
13
  credentials: <mycredentials>
14
  persistent: true

15
  security:
16
    tls:
17
      enabled: true
18
  connectivity:
19
    replicaSetHorizons:
20
      - "example-website": "web1.example.com:30907"
21
      - "example-website": "web2.example.com:32350"
22
      - "example-website": "web3.example.com:31185"
23
...

コピーした例セクションを既存のレプリカセットリソースに貼り付けます。

任意のテキスト エディターを開き、spec セクションのリソースファイルの末尾にオブジェクト仕様を貼り付けます。

強調表示された設定を希望する値に変更します。

レプリカセット リソースで外部ホスト名と外部サービス値を確認します。

spec.connectivity.replicaSetHorizons設定の外部ホスト名が正しいことを確認します。

外部ホスト名は、Kubernetes ワーカー ノードのDNS名と一致する必要があります。 これらは、Kubernetes クラスター内の任意のノードになります。 ポッドが別のノードで実行される場合、Kubernetes ノードは内部ルーティングを使用します。

spec.connectivity.replicaSetHorizonsのポートを外部サービス値に設定します。

15
  security:
16
    tls:
17
      enabled: true
18
  connectivity:
19
    replicaSetHorizons:
20
      - "example-website": "web1.example.com:30907"
21
      - "example-website": "web2.example.com:32350"
22
      - "example-website": "web3.example.com:31185"
23
...

レプリカセットの構成ファイルを保存します。

レプリカセットの配置を更新して再起動します。

任意のディレクトリで、次のKubernetesコマンドを呼び出して、レプリカセット を更新して再起動します。

kubectl apply -f <replica-set-conf>.yaml

レプリカセットへの接続をテストします。

開発環境では、レプリカセット内の各ホストに対して、次のコマンドを実行します。

mongosh --host <my-replica-set>/web1.example.com \
      --port 30907
      --ssl \
      --sslAllowInvalidCertificates

本番環境では、レプリカセット内の各ホストに対して、クライアントツールまたはアプリケーションに安全に接続するための TLS 証明書と CA を指定します。

mongosh --host <my-replica-set>/web1.example.com \
  --port 30907 \
  --tls \
  --tlsCertificateKeyFile server.pem \
  --tlsCAFile ca-pem

接続が成功すると、次の内容が表示されます。

Enterprise <my-replica-set> [primary]

Kubernetes Operator を使用してシャーディングされたクラスターを配置します。

シャーディングされたクラスターを配置していない場合は、手順に従ってシャーディングします。

次の設定を構成して、シャーディングされたクラスターの TLS を有効にする必要があります。

ポッドの外部サービスを作成します。mongos

外部リソースからシャーディングされたクラスターに接続するには、 spec.externalAccessを設定します 設定:

externalAccess: {}

この設定は、 Kubernetes Operatormongos に対して、 シャーディングされたクラスター内の ポッド用の外部 LoadBalancer サービスを作成するように指示します。外部サービスは、外部接続のエントリ点を提供します。値なしでこの設定を追加すると、次のデフォルト値を持つ外部サービスが作成されます。

オプションとして、サービスに値を追加したり、デフォルト値を上書きしたりする必要がある場合は、次を指定します。

• クラウドプロバイダーに固有の注釈（ ） spec.externalAccess.externalService.annotations

• サービス仕様のオーバーライド（ spec.externalAccess.externalService.spec 。

例、次の設定は外部サービスのデフォルト値を上書きし、 ポッドを公開する NodePort mongosサービスを作成するようにシャーディングされたクラスターを構成します。

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

TLS 証明書にサブジェクト代替名を追加します。

各外部DNS名を証明書SANに追加します。

各MongoDBホストは次の SAN を使用します。

<my-sharded-cluster>-<shard>-<pod-index>.<external-domain>
<my-sharded-cluster>-config-<pod-index>.<external-domain>
<my-sharded-cluster>-mongos-<pod-index>.<external-domain>

mongosインスタンスは次の SAN を使用します。

<my-sharded-cluster>-mongos-<pod-index>-svc-external.<external-domain>

spec.security.tls.additionalCertificateDomains次の例のように 設定を構成します。使用する各 TLS 証明書には、シャード、コンフィギュレーションサーバー、または インスタンスに対応する SANmongos が含まれている必要があります。 Kubernetes Operator が構成を検証します。

1
---
2
apiVersion: mongodb.com/v1
3
kind: MongoDB
4
metadata:
5
  name: <my-sharded-cluster>
6
spec:
7
  version: "8.0.0"
8
  opsManager:
9
    configMapRef:
10
      name: <configMap.metadata.name>
11
            # Must match metadata.name in ConfigMap file
12
  shardCount: 2
13
  mongodsPerShardCount: 3
14
  mongosCount: 2
15
  configServerCount: 3
16
  credentials: my-secret
17
  type: ShardedCluster
18
  externalAccess: {}
19
  security:
20
    tls:
21
      certsSecretPrefix: <prefix>
22
      additionalCertificateDomains:
23
         - "<external-domain>"
24
...

外部サービスを確認します。

シャーディングされたクラスターで次のコマンドを実行して、Kubernetes Operator が配置用の外部サービスを作成したことを確認します。

$ kubectl get services

このコマンドは、次の出力のようなサービスのリストを返します。 Kubernetes Operator は、クラスター内の各mongosインスタンスに対して、 <pod-name>-<pod-idx>-svc-externalという名前の外部サービスを作成します。 This service is configured according to the values and overrides you provide in the external service specification.

NAME                                              TYPE         CLUSTER-IP     EXTERNAL-IP       PORT(S)           AGE
<my-sharded-cluster>-mongos-0-svc-external    LoadBalancer   10.102.27.116  <lb-ip-or-fqdn>   27017:27017/TCP    8m30s
<my-sharded-cluster>-mongos-1-svc-external    LoadBalancer   10.102.27.116  <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

クラスターの構成またはクラウドプロバイダーによっては、LoadBalancer サービスのIPアドレスは外部からアクセス可能なIPアドレスまたは FQDN になります。 IPアドレスまたは FQDN を使用して、外部ドメインからのトラフィックをルーティングできます。この例には2 つのmongos インスタンスがあるため、 Kubernetes Operator は 2 つの外部サービスを作成しています。

シャーディングされたクラスターへの接続をテストします。

Kubernetes クラスターの外部から配置に接続するには、MongoDB Shell（ mongosh ）を使用し、外部ドメインを通じて公開したmongosインスタンスのアドレスを指定します。

mongosh ""