AI エージェント向け: ドキュメントインデックスは https://www.mongodb.com/ja-jp/docs/llms.txt で利用できます。すべてのページの markdown バージョンは、いずれかの URL パスに .md を追加することで利用できます。

マネージド TLS 証明書（サービス メッシュなし）

このセクションでは、 MongoDBの各コンポーネントに対する TLS 証明書の作成と、TLS 証明書を適切なKubernetesポッドに安全にマウントするための各KubernetesクラスターでのKubernetes Secret の作成に関するガイダンスを提供します。

以下に概説するプロセスでは、Cert Manager を使用して TLS 証明書を作成します。ただし、これは 独自のガイドであり、CertManager はMongoDBでサポートされていないことに注意してください。さらに、CertManager は、 Kubernetesクラスターに TLS 証明書を追加できる多くの方法の 1 つしかありません。また、組織のセキュリティ要件 によっては、自己署名証明書が本番環境の配置に適していない場合があります。パブリックに信頼された証明書が必要な場合は、それに応じて発行者を構成するか、TLS 証明書を直接提供します。詳細については、cert-manager 統合の設定 を参照してください。

前提条件

始める前に、次のタスクを実行してください。

ソースコード

含まれているすべてのソースコードはMongoDB Kubernetes Operatorリポジトリにあります。

手順

1

Helm Charts リポジトリを追加する。

helm repo add jetstack https://charts.jetstack.io --force-update
2

Helm を使用して cert-manager をインストールします。

helm upgrade --install \  cert-manager jetstack/cert-manager \  --kube-context "${K8S_CLUSTER_0_CONTEXT_NAME}" \  --namespace cert-manager \  --create-namespace \  --set crds.enabled=true
Release "cert-manager" does not exist. Installing it now.NAME: cert-managerLAST DEPLOYED: Wed Dec 17 11:34:44 2025NAMESPACE: cert-managerSTATUS: deployedREVISION: 1TEST SUITE: NoneNOTES:⚠️  WARNING: New default private key rotation policy for Certificate resources.The default private key rotation policy for Certificate resources waschanged to `Always` in cert-manager >= v1.18.0.Learn more in the [1.18 release notes](https://cert-manager.io/docs/releases/release-notes/release-notes-1.18).
cert-manager v1.19.2 has been deployed successfully!
In order to begin issuing certificates, you will need to set up a ClusterIssueror Issuer resource (for example, by creating a 'letsencrypt-staging' issuer).
More information on the different types of issuers and how to configure themcan be found in our documentation:
https://cert-manager.io/docs/configuration/
For information on how to configure cert-manager to automatically provisionCertificates for Ingress resources, take a look at the `ingress-shim`documentation:
https://cert-manager.io/docs/usage/ingress/
3

証明書発行者を作成します。

kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOFapiVersion: cert-manager.io/v1kind: ClusterIssuermetadata:  name: selfsigned-cluster-issuerspec:  selfSigned: {}EOF
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer selfsigned-cluster-issuer
kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOFapiVersion: cert-manager.io/v1kind: Certificatemetadata:  name: my-selfsigned-ca  namespace: cert-managerspec:  isCA: true  commonName: my-selfsigned-ca  secretName: root-secret  privateKey:    algorithm: ECDSA    size: 256  issuerRef:    name: selfsigned-cluster-issuer    kind: ClusterIssuerEOF
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready -n cert-manager certificate my-selfsigned-ca
kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOFapiVersion: cert-manager.io/v1kind: ClusterIssuermetadata:  name: my-ca-issuerspec:  ca:    secretName: root-secretEOF
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer my-ca-issuer
4

発行者の作成を確認します。

kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOFapiVersion: cert-manager.io/v1kind: Certificatemetadata:  name: test-selfsigned-cert  namespace: cert-managerspec:  dnsNames:    - example.com  secretName: test-selfsigned-cert-tls  issuerRef:    name: my-ca-issuer    kind: ClusterIssuerEOF
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait -n cert-manager --for=condition=Ready certificate test-selfsigned-cert
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" delete -n cert-manager certificate test-selfsigned-cert
certificate.cert-manager.io/test-selfsigned-cert createdcertificate.cert-manager.io/test-selfsigned-cert condition metcertificate.cert-manager.io "test-selfsigned-cert" deleted from cert-manager namespace
5

CA configMap を作成します。

MongoDB Ops Manager TLS 証明書がカスタム CA によって署名されている場合、CA 証明書には、エージェントがインターネットから MongoDB バイナリをダウンロードできるようにする追加の証明書も含まれている必要があります。TLS 証明書を作成するには、CA 証明書を保持する ConfigMap を作成します。

mkdir -p certs
openssl s_client -showcerts -verify 2 \-connect downloads.mongodb.com:443 -servername downloads.mongodb.com < /dev/null \| awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="certs/cert"a".crt"; print >out}'
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" get secret root-secret -n cert-manager -o jsonpath="{.data['ca\.crt']}" | base64 --decode > certs/ca.crtcat certs/ca.crt certs/cert2.crt certs/cert3.crt  >> certs/mms-ca.crt
kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${MDB_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crtkubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${OM_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt
戻る
演算子を配置する
次へ
マルチクラスターMongoDB Ops Manager
このページを評価

項目一覧