mongod インスタンス

中心的オプション

--auth

データベースのリソースと操作へのユーザーのアクセスを制御する承認を有効にします。承認が有効になっている場合、MongoDB は、すべてのクライアントに対して、アクセス権を決定する前に認証を要求します。

mongoshユーザーを構成するには、 クライアントを使用します。ユーザーが存在しない場合、最初のユーザーを作成するまでローカルホスト インターフェースがデータベースにアクセスできます。

詳細については、「セキュリティ」を参照してください。

--bind_ip <hostnames|ipaddresses|Unix domain socket paths>

デフォルト: localhost

mongod がクライアント接続を待ち受けるホスト名、IP アドレス、および完全な Unix ドメイン ソケット パス。mongod はどのインターフェースにも接続できます。複数のアドレスにバインドするには、値をカンマで区切ったリストを入力します。

例: localhost,/tmp/mongod.sock

IPv4 アドレスと IPv6 アドレスの両方、 IPv4 アドレスまたは IPv6 アドレスのいずれかに解決するホスト名が指定できます。

例: localhost,2001:0DB8:e132:ba26:0d5c:2774:e7f9:d513

注意

IPv6 アドレス、または IPv アドレスに解決するホスト名を6 --bind_ipmongod--ipv6に指定する場合、IPv6 のサポートを有効にするには、 を で開始する必要があります。6 に--bind_ip IPv アドレスを指定しても、IPv6 のサポートは有効になりません。

link-local IPv6 アドレス（ ）を指定する場合、ゾーンインデックスをそのアドレス（fe80::/10 ）に追加する必要があります。fe80::<address>%<adapter-name>

例: localhost,fe80::a00:27ff:fee0:1fcf%enp0s3

重要

IP アドレスの変更による構成の更新を防ぐには、IP アドレスの代わりに DNS ホスト名を使用します。レプリカセット ノードまたはシャーディングされたクラスター ノードを設定するときは、IP アドレスではなく DNS ホスト名を使用することが特に重要です。

分裂されたネットワーク ホライズン全体でクラスターを構成するには、IP アドレスの代わりにホスト名を使用します。 MongoDB 5.0以降、IP アドレスのみが設定されているノードは起動時の検証に失敗し、起動しません。

警告

インスタンスをパブリックにアクセス可能な IP アドレスにバインドする前に、クラスターを不正アクセスから保護する必要があります。 セキュリティ推奨事項の完全なリストについては、「自己管理型配置のセキュリティ チェックリスト」を参照してください。 最低限、認証を有効化し、ネットワーク インフラストラクチャの強化 を検討してください。

IP バインディングの詳細については、「自己管理型配置の IP バインディング」ドキュメントを参照してください。

すべての IPv4 アドレスにバインドするには、「0.0.0.0」と入力します。

すべての IPv 4と IPv 6アドレスにバインドするには、 ::,0.0.0.0またはアスタリスク"*"を入力します（ファイル名パターン展開を避けるためには、アスタリスクを引用符で囲みます）。 または、 net.bindIpAll設定を使用します。

注意

• --bind_ip と --bind_ip_all は相互に排他的です。両方のオプションを指定すると、mongod はエラーをスローして終了します。

• コマンドライン オプション --bind では、構成ファイルの設定 net.bindIp が上書きされます。

--bind_ip_all

指定されている場合、mongod インスタンスはすべての IPv4 アドレス（つまり0.0.0.0 ）にバインドされます。 がmongod --ipv6で始まる場合、 もすべての--bind_ip_all IPv6 アドレス（:: ）にバインドされます。

mongod では、--ipv6 で開始された場合のみ--bind_ip_all IPv6 がサポートされます。 のみを指定しても、IPv6 のサポートは有効になりません。

警告

インスタンスをパブリックにアクセス可能な IP アドレスにバインドする前に、クラスターを不正アクセスから保護する必要があります。 セキュリティ推奨事項の完全なリストについては、「自己管理型配置のセキュリティ チェックリスト」を参照してください。 最低限、認証を有効化し、ネットワーク インフラストラクチャの強化 を検討してください。

IP バインディングの詳細については、「自己管理型配置の IP バインディング」ドキュメントを参照してください。

あるいは、 --bind_ipオプションを::,0.0.0.0またはアスタリスク"*"に設定することもできます（ファイル名パターン展開を避けるために、アスタリスクは引用符で囲みます）。

注意

--bind_ip と --bind_ip_all は相互に排他的です。つまり、どちらか一方を指定できますが、両方を指定することはできません。

--clusterIpSourceAllowlist <string>

バージョン 5.0 の新機能。

IPアドレス mongodおよび CIDR（ クラスレスmongos ドメイン間ルーティング ）範囲のリストです。 は、このリストに基づいてレプリカセットの他のノードによる認証リクエストを、またシャーディングされたクラスターの一部である場合は、 インスタンスの認証リクエストを検証します。mongod は、元IPがリストに明示的に含まれているか、リスト内の CIDR 範囲に属していることを確認します。 IPアドレスが存在しない場合、サーバーはmongod またはmongos を認証しません。

--clusterIpSourceAllowlistは、認証なしで開始されたmongod には影響しません。

--clusterIpSourceAllowlistは、複数のカンマ区切りの IPv4 /6 アドレスまたはクラスレス ドメイン間ルーティング（ CIDR ）範囲を受け入れます。

mongod --clusterIpSourceAllowlist 192.0.2.0/24,127.0.0.1,::1

重要

クラスター --clusterIpSourceAllowlistコンポーネント間の正常な通信を確保するために、 には、mongos IPアドレス、または各レプリカセットのノードもしくは配置内の のIPアドレスを含む CIDR 範囲が含まれていることを確認してください。

--config <filename>, -f <filename>

ランタイム設定オプション用の構成ファイルを指定します。 構成ファイルは、 mongodのランタイム構成に推奨される方法です。 オプションは、コマンドラインの設定オプションと同じです。 詳細については、 自己管理型構成ファイルのオプションを参照してください。

構成ファイルでは ASCII エンコードを使用するようにしてください。mongod インスタンスでは、UTF-8 など、非 ASCII エンコードの構成ファイルをサポートしていません。

--configExpand <none|rest|exec>

デフォルト: なし

構成ファイルで展開ディレクティブを使用できるようにします。展開ディレクティブを使用すると、構成ファイル オプションに外部ソースの値を設定できます。

--configExpand では、次の展開ディレクティブをサポートします。

値	説明
none	デフォルト。mongod は展開ディレクティブを展開しません。構成ファイルの設定で展開ディレクティブが使用されている場合、mongodは起動に失敗します。
rest	mongod は、構成ファイルを解析するときに __rest 展開ディレクティブを展開します。
exec	mongod は、構成ファイルを解析するときに __exec 展開ディレクティブを展開します。

複数の展開ディレクティブをカンマ区切りのリスト（例:rest, exec ）として指定できます。構成ファイルに--configExpand に指定されていない展開ディレクティブが含まれている場合、mongod はエラーを返し、終了します。

展開ディレクティブの詳細については、構成ファイルについて「自己管理型MongoDBの外部構成値」を参照してください。

--filePermissions <path>

デフォルト: 0700

UNIX ドメイン ソケット ファイルのパーミッションを設定します。

--filePermissions は Unix ベースのシステムにのみ適用されます。

--fork

デーモンモードを有効にして、 mongodプロセスをバックグラウンドで実行します。--fork オプションはWindowsではサポートされていません。

mongodデフォルトでは、 はデーモンとして実行されません。mongod --forkまたは、デーモン化を取り扱う制御プロセス（upstart や など）を使用して、systemd をデーモンとして実行します。

--forkを使用するには、次のいずれかを使用してmongod のログ出力を構成します。

• --logpath

• --syslog

--help, -h

mongod のオプションと使用に関する情報を返します。

--ipv6

IPv6 のサポートを有効にします。mongod ではデフォルトで IPv6 のサポートは無効です。

--ipv6を設定しても、mongod がローカル IPv6 アドレスまたはインターフェースをリッスンするように 指示しません 。mongod IPv6 インターフェースでリッスンするように を設定するには、次のいずれかを行う必要があります。

• IPv アドレスまたは IPv アドレスに解決するホスト名を --bind_ip1 つ以上使用して66 を構成するか、 あるいは

• --bind_ip_allをtrue に設定します。

--keyFile <file>

MongoDBインスタンスがシャーディングされたクラスターまたはレプリカセット内で相互に認証を行うために使用する、共有シークレットを保存する鍵ファイルへのパスを指定します。 --keyFileは--auth を意味します。詳細については、「 自己管理型内部認証とメンバーシップ認証 」を参照してください。

内部メンバーシップ認証用のキーファイルでは、キーファイル内に複数のキーを含めるために YAML 形式が使用されます。YAML 形式は次のいずれかを受け入れます。

• 1 つのキー文字列（以前のバージョンと同じ）

• キー文字列のシーケンス

YAML 形式は、テキストファイル形式を使用する既存の単一のキー　キーファイルと互換性があります。

--listenBacklog <number>

デフォルト: ターゲット システム SOMAXCONN 定数

listen キューに存在できる接続の最大数です。

警告

このパラメーターを使用する前に、制限事項と構成要件を理解するためにローカル システムのドキュメントを確認してください。

重要

未定義の動作を防ぐには、このパラメーターに 1 とローカルシステムの SOMAXCONN 定数の間の値を指定します。

listenBacklogパラメーターのデフォルト値は、ターゲットシステムに依存します。Linux では、MongoDB は/proc/sys/net/core/somaxconnを使用します。その他のすべてのターゲットシステムでは、MongoDB はコンパイル時定数SOMAXCONNを使用します。

SOMAXCONN を記号的に解釈するシステムもあれば、数値的に解釈するシステムもあります。実際に適用されるlisten バックログは、SOMAXCONN 定数または --listenBacklog への引数の数値的解釈とは異なる場合があります。

listenBacklog パラメーターにローカルシステムの SOMAXCONN 定数を超える値を渡すと、標準では未定義の動作になります。値が大きいと、自動的に整数に切り捨てられる、無視される、予期しないリソースが消費されるなどの悪影響が生じる可能性があります。

--logappend

mongod インスタンスの再起動時に、既存のログファイルの末尾に新しいエントリが追加されます。このオプションを指定しない場合、mongod は既存のログをバックアップして新しいファイルを作成します。

--logpath <path>

すべての診断ログ情報を、標準出力やホストの syslog システムではなく、ログファイルに送信します。MongoDB は指定したパスにログファイルを作成します。

デフォルトでは 、 MongoDB は既存のログファイルを上書きせず、移動します。ログファイルに追加するには、--logappend オプションを設定します。

--logRotate <string>

デフォルト: rename

サーバー ログや監査ログをローテーションするときの logRotate コマンドの動作を決定します。rename または reopen を指定します。

• rename は、ログファイルの名前を変更します。

• reopen は、一般的な Linux/Unix ログのローテーション動作に従って、ログファイルを閉じてから再度開きます。Linux/Unix logrotate ユーティリティを使用する場合は、ログの損失を防ぐために reopen を使用してください。

  reopenを指定する場合は、--logappend も使用する必要があります。

--maxConns <number>

mongod が受け入れる同時接続の最大数です。この設定は、オペレーティング システムで設定されている最大接続追跡しきい値よりも高い場合は効果がありません。

このオプションに、あまりにも低い値は割り当てないでください。通常のアプリケーション操作中にエラーが発生する可能性があります。

--networkMessageCompressors <string>

Default: snappy,zstd,zlib

この mongod インスタンスと以下の間の通信に使用するデフォルトのコンプレッサーを指定します。

• 配置の他のノード（インスタンスがレプリカセットまたはシャーディングされたクラスターの一部である場合）

• mongosh

• OP_COMPRESSED メッセージ形式をサポートするドライバー

MongoDB では、以下のコンプレッサーをサポートしています。

• Snappy

• zlib

• zstd

注意

mongodインスタンスとmongosインスタンスの両方がデフォルトでsnappy,zstd,zlibコンプレッサーに設定されます。

ネットワーク圧縮を無効にするには、値を disabled に設定します。

重要

両者がネットワーク圧縮を有効にしている場合、メッセージは圧縮されます。そうでなければ、この両者間のメッセージは非圧縮となります。

複数のコンプレッサーを指定する場合、通信イニシエーターだけでなく、コンプレッサーをリストする順序も重要になります。例、 が次のネットワークmongosh コンプレッサーzlib,snappy mongodsnappy,zlibを指定し、mongosh が を指定する場合、 と の間のメッセージはmongod zlibを使用します。

当事者間に共通のコンプレッサーが 1 つもなければ、当事者間のメッセージは圧縮されません。例として、mongosh でネットワーク コンプレッサー zlib が指定され、mongod で snappy が指定されている場合、mongosh と mongod の間のメッセージは圧縮されません。

--noauth

認証を無効にします。現在はデフォルトです。将来の互換性と明確さのために存在します。

--noscripting

スクリプト エンジンを無効にします。

--notablescan

コレクションスキャンが必要な操作を禁止します。詳細については notablescan を参照してください。

--nounixsocket

UNIX ドメイン ソケットでのリスニングを無効にします。 は Unix--nounixsocket ベースのシステムにのみ適用されます。

次のいずれかが当てはまらない限り、mongod プロセスは常に UNIX ソケットを listen します。

• --nounixsocket が設定されている

• net.bindIp が設定されていない

• net.bindIp が localhost またはそれに関連付けられた IP アドレスを指定していない

mongod 公式の Debian および Red Hat または CentOS パッケージからインストールされたものは、bind_ip 構成がデフォルトで 127.0.0.1 に設定されています。

--outputConfig

mongodYAML 形式の インスタンスの構成オプションをstdout mongodに出力し、 インスタンスを終了します。自己管理型MongoDBの外部構成値--outputConfig を使用する構成オプションの場合、 はそれらのオプションの解決された値を返します。

警告

これには、以前に外部ソースを通して難読化された、設定されたパスワードや秘密が含まれ場合があります。

使用例については、以下を参照してください。

• 解決された展開ディレクティブ値を含む構成ファイルを出力する

• 自己管理型コマンドライン オプションを YAML に変換する

--pidfilepath <path>

プロセスのプロセスID （PID）を保存するファイルの場所を指定します。mongod mongodまたは mongosプロセスを実行中ユーザーは、このパスに書込む (write) ことができる必要があります。 オプションが指定されていない場合、 --pidfilepath--forkプロセスは PIDファイルを作成しません。このオプションは主に オプションとともに使用します。

注意

Linux

Linuxでは、PIDファイルの管理は通常、ディストリビューションの初期化システムによって行われます。通常、/etc/init.d ディレクトリ内のサービスファイルか、 に登録された systemdsystemctl --pidfilepathユニットファイルが使用されます。これらの初期化システムのいずれも使用していない場合にのみ、 オプションを使用してください。詳細については、ご利用中のオペレーティング システム用のインストール ガイドを参照してください。

注意

MacOS

macOS では、PIDファイル管理は通常brew --pidfilepathbrewによって処理されます。 macOS システムで を使用していない場合にのみ、 オプションを使用してください。詳細については、ご利用中のオペレーティング システム用のインストール ガイドを参照してください。

--port <port>

デフォルト:

• 27017: mongod がシャード ノードまたはコンフィギュレーションサーバー ノードでない場合

• 27018mongodが の場合のshard member

• 27019mongodが の場合のconfig server member

MongoDB インスタンスがクライアント接続を待機するTCP ポート。

--port オプションは、0 から 65535 までの範囲の値を受け入れます。ポートを 0 に設定すると、mongod はオペレーティング システムによって割り当てられた任意のポートを使用するように構成されます。

--quiet

出力を制限する quiet モードで mongod を実行します。

このオプションにより次の項目が抑制されます。

• データベース コマンドからの出力

• レプリケーション アクティビティ

• 接続を受け付けたイベント

• 接続を終了したイベント

• client metadata

--redactClientLogData

MongoDB Enterprise でのみ使用できます。

mongod--redactClientLogDataで実行中 は、ログに記録される前にログイベントに付随するすべてのメッセージをリダクションします。これにより、データベースに保存されている機密性が高い可能性のあるデータをmongod が 診断ログに書き込むことを防止します。エラー コードや操作コード、行番号、ソースファイル名などのメタデータは、引き続きログに表示されます。

--redactClientLogData規制要件へのコンプライアンスに、 を 保存時の暗号化 および TLS/SSL（トランスポート暗号化） と組み合わせて使用することが役立ちます。

例、 MongoDBデプロイでは、個人を特定できる情報（PII）が 1 つ以上のコレクションに保存される場合があります。 インスタンスは、mongod CRUD操作 やシャーディングメタデータなどのイベントをログに記録します。これらのログ操作の一環として PII を公開する可能性があります。 とともに実行中mongod --redactClientLogDataは、これらのイベントに付随するメッセージをログに書き込む前にすべてのメッセージを削除するため、PII が削除されます。

mongod--redactClientLogDataで実行中--redactClientLogData の診断は、ログイベントに関連するデータが不足しているため、より困難になる可能性があります。 がログ出力に与える影響の例については、 プロセス ログのマニュアル ページを参照してください。

実行中のmongodでこの設定を構成するには、setParameter を redactClientLogData パラメーターとともに使用します。

--setParameter <options>

「 自己管理型配置の MongoDB Server パラメーター 」で説明されている MongoDB パラメーターの 1 つを指定します。 複数のsetParameterフィールドを指定できます。

--shutdown

--shutdownmongodオプションにより、 プロセスが正常かつ安全に終了します。このオプションを使用して を呼び出す場合は、mongod --dbpathオプションを直接または構成ファイルと --configオプションを使用して設定する必要があります。

--shutdownオプションはLinuxシステムでのみ使用できます。

シャットダウンするその他の方法については、「mongod プロセスの停止」も参照してください。

--sysinfo

診断システム情報を返し、終了します。この情報には、ページ サイズ、物理ページ数、使用可能な物理ページ数が含まれます。

--syslog

すべてのログ出力を標準出力やログファイルではなく、ホストのsyslogシステムに送信します（ --logpath）。

--syslogオプションはWindowsではサポートされていません。

警告

syslogデーモンは、 MongoDBメッセージが発行されたときではなく、メッセージがログに記録されたときにタイムスタンプを生成します。そのため、特にシステムの負荷が高い場合に、ログエントリのタイムスタンプに誤りが生じる可能性があります。タイムスタンプが正確になるように、実稼働システムでは--logpath オプションを使用することをお勧めします。

MongoDB は、 syslogへのログ メッセージにコンポーネントを含めます。

...  ACCESS   [repl writer worker 5] Unsupported modification to roles collection ...

--syslogFacility <string>

デフォルト: user

メッセージをsyslogに記録するときに使用するファシリティ レベルを指定します。指定する値は、使用しているオペレーティング システムのsyslogの実装でサポートされている必要があります。このオプションを使用するには、--syslog オプションを有効にする必要があります。

--timeStampFormat <string>

Default: iso8601-local

ログ メッセージのタイムスタンプの時間形式。次のいずれかの値を指定。

値	説明
iso8601-utc	ISO-8601 形式のUTC（Coordinated Universal Time、協定世界時）でタイムスタンプを表示します。たとえば、UNIXエポック開始時のニューヨークの場合、以下のようになります。 1970-01-01T00:00:00.000Z
iso8601-local	タイムスタンプを ISO-8601 形式のローカルタイムで表示します。たとえば、UNIXエポック開始時のニューヨークの場合、以下のようになります。 1969-12-31T19:00:00.000-05:00

注意

タイムスタンプ形式は ctime をサポートしなくなりました。ctime 形式の日付の例は、Wed Dec 31 18:17:54.811 です。

--timeZoneInfo <path>

タイムゾーン データベースをロードするフルパス。 このオプションが指定されていない場合、MongoDB は組み込みのタイムゾーンデータベースを使用します。

Linux パッケージと macOS パッケージに含まれる構成ファイルでは、タイムゾーン データベース パスがデフォルトで /usr/share/zoneinfo に設定されています。

組み込みのタイム ゾーン データベースは、 Olson および IANA のタイムゾーンデータベースのコピーです。タイム ゾーン データベースは MongoDB のリリース時にアップデートされますが、タイム ゾーン データベースと MongoDB のリリース サイクルは異なります。タイム ゾーン データベースの最新リリースは、当社の ダウンロードサイト から入手できます。

wget https://downloads.mongodb.org/olson_tz_db/timezonedb-latest.zip
unzip timezonedb-latest.zip
mongod --timeZoneInfo timezonedb-2017b/

警告

MongoDBはサードパーティの timelib ライブラリを使用して、タイムゾーン間の正確な変換を提供します。最近の更新により、timelib はMongoDBの古いバージョンで不正確なタイムゾーン変換を作成する可能性があります。

より前のバージョンのMongoDBでタイムゾーンデータベースに明示的にリンクするには、5.0 タイムゾーンデータベースをダウンロードし、 timeZoneInfoパラメータを使用する

Tip

processManagement.timeZoneInfo.

--traceExceptions

内部診断のみに使用します。

--transitionToAuth

mongodが配置内の他のmongod インスタンスとmongos インスタンスとの間で、認証済みの接続と非認証の接続の受け入れと作成を許可します。レプリカセットまたはシャーディングされたクラスターの認証なし構成から内部認証へのローリング移行を実行するために使用されます。 などの --keyFile内部認証メカニズムを指定する必要があります。

例えば、 内部認証 に キーファイル を使用する場合、 は一致するキーファイルを使用して配置内の任意のmongod またはmongod mongosとの認証済み接続を作成します。セキュリティ メカニズムが一致しない場合、mongod は代わりに認証されていない接続を利用します。

mongod--transitionToAuthで実行中 では、ユーザー アクセス制御は強制されません。ユーザーは、アクセス制御チェックなしで配置に接続し、読み取り操作、書込み操作、および管理操作を実行できます。

注意

mongod内部認証で実行中、 --transitionToAuthがない では、クライアントがユーザー アクセス制御を使用して接続する必要があります。 なしで を再起動する前に、適切なユーザーを使用してmongod mongod--transitionToAuthに接続するよう、クライアントを更新します。

--unixSocketPrefix <path>

デフォルト: /tmp

UNIX ソケットのパス。 は Unix--unixSocketPrefix ベースのシステムにのみ適用されます。

このオプションに値がない場合、mongod プロセスは /tmp をプレフィックスとするソケットを作成します。MongoDB は、次のいずれかが当てはまらない限り、UNIX ソケットを作成して listen します。

• net.unixDomainSocket.enabled とは false

• --nounixsocket が設定されている

• net.bindIp が設定されていない

• net.bindIp が localhost またはそれに関連付けられた IP アドレスを指定していない

--verbose, -v

標準出力またはログ ファイルに返される内部レポートの量を増やします。-v の形式でオプションを複数回含めることで、冗長度を高められます（例: -vvvvv）。

注意

MongoDB バージョン 4.2 以降では、ログ メッセージにデバッグの冗長レベル（1 ～ 5）が含まれるようになりました。たとえば、冗長レベルが 2 の場合、MongoDB は D2 をログに出力します。以前のバージョンでは、MongoDB のログ メッセージではデバッグ レベルに D しか指定されていませんでした。

--version

mongod のリリース番号を返します。

LDAP 認証または承認のオプション

--ldapServers <host1>:<port>,<host2>:<port>,...,<hostN>:<port>

MongoDB Enterprise でのみ使用できます。

mongod がユーザーを認証したり、特定のデータベースでユーザーが実行できるアクションを決定したりするための LDAP サーバーです。指定した LDAP サーバーにレプリケーションされたインスタンスがある場合は、各複製サーバーのホストとポートをカンマ区切りのリストで指定できます。

LDAP インフラストラクチャが LDAPディレクトリを複数の LDAP サーバーに分割する場合は、1 つ の LDAPサーバーまたはその複製されたインスタンスのいずれかを--ldapServers に指定します。 MongoDB は、RFC..45114 110で定義されている以下の--ldapServers LDAP 紹介をサポートしています。インフラストラクチャ内のすべての LDAPサーバーを一覧表示するために、 を使用することは避けてください。

この設定は、setParameter を使用して実行中の mongod で設定できます。

設定されていない場合、mongod は LDAP 認証または承認を使用できません。

--ldapValidateLDAPServerConfig <boolean>

MongoDB Enterprise で利用可能です。

mongodインスタンスがスタートアップの一部としてLDAP server(s) の可用性を確認するかどうかを決定するフラグです。

• true の場合、mongod インスタンスは可用性チェックを実行し、LDAP サーバーが使用可能な場合にのみ起動を続行します。

• false の場合、mongod インスタンスは可用性チェックをスキップします。つまり、LDAP サーバーが利用できない場合でもインスタンスは起動します。

--ldapQueryUser <string>

MongoDB Enterprise でのみ使用できます。

LDAP サーバーに接続するとき、または LDAP サーバーでクエリを実行するときに、mongod がバインドする ID です。

次のいずれかに当てはまる場合にのみ必要です。

• LDAP 承認を使用している

• に LDAP クエリを使用します。username transformation

• LDAP サーバーが匿名バインドを許可していない

--ldapQueryUserでは--ldapQueryPassword を使用する必要があります。

設定されていない場合、mongod は LDAP サーバーへのバインドを試行しません。

この設定は、setParameter を使用して実行中の mongod で設定できます。

注意

Windows MongoDB配置では、--ldapBindWithOSDefaults と--ldapQueryUser--ldapQueryPassword の代わりに を使用できます。--ldapQueryUser --ldapBindWithOSDefaultsと の両方を同時に指定することはできません。

--ldapQueryPassword <string | array>

MongoDB Enterprise でのみ使用できます。

を使用するときに LDAPサーバーにバインドするために使用されるパスワード。--ldapQueryUser では--ldapQueryPassword --ldapQueryUserを使用する必要があります。

設定されていない場合、 はmongod LDAPサーバーへのバインドを試行しません。

この設定は実行中のmongod でsetParameter を使用して構成できます。

ldapQueryPassword setParameter コマンドは、string または string の配列のいずれかを受け付けます。ldapQueryPassword が配列に設定されている場合、MongoDB は成功するまで各パスワードを順番に試行します。パスワード配列を使用して、ダウンタイムなしで LDAP アカウントのパスワードをロールオーバーします。

--ldapBindWithOSDefaults <bool>

デフォルト: false

Windows プラットフォームの MongoDB Enterprise でのみ利用可能です。

LDAP サーバーに接続するときに、mongod が Windows のログイン資格情報を使用して認証またはバインドできるようにします。

次の場合にのみ必要です。

• LDAP 承認を使用している

• に LDAP クエリを使用します。username transformation

• LDAP サーバーが匿名バインドを許可していない

--ldapBindWithOSDefaults--ldapQueryUserと を置き換えるには、--ldapQueryPassword を使用します。

--ldapBindMethod <string>

デフォルト: simple

MongoDB Enterprise でのみ使用できます。

は--ldapQueryUser を使用してmongod--ldapQueryPassword LDAPサーバーに認証します。 LDAPサーバーに接続するには、 と とともに を使用します。

--ldapBindMethod は次の値をサポートします。

• simple - mongod は簡易認証を使用する

• sasl - mongod は認証に SASL プロトコルを使用する

saslを指定した場合は、 を使用して使用可能な SASL--ldapBindSaslMechanisms メカニズムを構成できます。mongod はデフォルトでDIGEST-MD5 メカニズムを使用します。

--ldapBindSaslMechanisms <string>

デフォルト: DIGEST-MD5

MongoDB Enterprise でのみ使用できます。

LDAP サーバーへの認証時に mongod が使用できる SASL メカニズムのカンマ区切りリストです。mongod と LDAP サーバーは少なくとも 1 つのメカニズムに同意する必要があります。mongod は、実行時にホスト マシンにインストールされている SASL メカニズム ライブラリを動的に読み込みます。

mongod ホストとリモート LDAP サーバー ホストの両方で、選択した SASL メカニズムに適切なライブラリをインストールして設定します。オペレーティング システムには、デフォルトで特定の SASL ライブラリが含まれている場合があります。インストールと構成のガイダンスについては、各 SASL メカニズムに関連するドキュメントを参照してください。

自己管理型配置で Kerberos 認証で使用するためにGSSAPI SASL メカニズムを使用する場合は、 mongodホスト マシンで次の点を確認してください。

Linux

• KRB5_CLIENT_KTNAME 環境変数は、ホスト マシン用のクライアントLinuxキータブ ファイルの名前に解決されます。Kerberos 環境変数の詳細については、 Kerberos のドキュメント を参照してください。

• クライアント キータブには、LDAP サーバーに接続して LDAP クエリを実行するときに mongod が使用するユーザー プリンシパルが含まれています。

Windows

Active Directoryサーバーに接続する場合、 Windows Kerberos構成により、ユーザーがシステムにログオンした際に Ticket-Granting-Ticket が自動生成されます。 を--ldapBindWithOSDefaults truemongodに設定すると、Active Directoryサーバーに接続してクエリを実行する際に、 が生成された認証情報を使用できるようになります。

このオプションを使用するには、 --ldapBindMethodを に設定します。sasl

注意

全 SASL メカニズムを網羅したリストについては、IANA のリスト を参照してください。サービスと互換性のある SASL メカニズムを特定するには、LDAP または Active Directory サービスのドキュメントを参照してください。

MongoDB は SASL メカニズム ライブラリのソースではなく、MongoDB ドキュメントも特定の SASL メカニズムのインストールや設定をするための決定的な情報源ではありません。ドキュメントとサポートについては、SASL メカニズム ライブラリのベンダーまたは管理者に問い合わせてください。

SASLの詳細については、次のリソースを参照してください。

• Linux の場合は、Cyrus SASL のドキュメントを参照してください。

• Windows の場合は、Windows SASL ドキュメントを参照してください。

--ldapTransportSecurity <string>

デフォルト: tls

MongoDB Enterprise でのみ使用できます。

デフォルトでは、mongod はLDAP サーバーへの TLS/SSL で保護された接続を作成します。

Linux配置の場合、/etc/openldap/ldap.confファイルで適切な TLS オプションを構成する必要があります。オペレーティング システムのパッケージマネージャーは、libldap 依存関係を介してMongoDB Enterpriseインストールの一部としてこのファイルを作成します。詳しくは、ldap.conf OpenLDAP ドキュメント の TLS Options のドキュメントを参照してください。

Windows 配置の場合、LDAP サーバー CA 証明書を Windows 証明書管理ツールに追加する必要があります。ツールの正確な名前と機能は、オペレーティング システムのバージョンによって異なる場合があります。証明書管理の詳細については、ご使用の Windows バージョンのドキュメントを参照してください。

--ldapTransportSecurityをnone mongodに設定すると、 と LDAPサーバーの間で TLS/SSL が無効になります。

警告

--ldapTransportSecuritynoneをmongod に設定すると、 と LDAPサーバー間でプレーンテキスト情報と場合によっては認証情報が送信されます。

--ldapTimeoutMS <int>

デフォルト: 10000

MongoDB Enterprise でのみ使用できます。

LDAP サーバーが要求に応答するまで mongod が待機する時間（ミリ秒）です。

の値を増やすと、障害の原因が接続タイムアウトである場合、 MongoDBサーバーと--ldapTimeoutMS--ldapTimeoutMS LDAPサーバー間の接続が失敗しなくなる可能性があります。 の値を減らすと、 MongoDB がLDAPサーバーからの応答を待機する時間が短縮されます。

この設定は、setParameter を使用して実行中の mongod で設定できます。

--ldapRetryCount <int>

バージョン6.1の新機能。

デフォルト: 0

MongoDB Enterprise でのみ使用できます。

ネットワーク エラーが発生した場合にサーバー LDAP マネージャーによって再試行される操作の回数。

--ldapUserToDNMapping <string>

MongoDB Enterprise でのみ使用できます。

認証用に に指定されたユーザー名を LDAP 識別名（DN）にマッピングします。次のシナリオではユーザー名をLDAP DN に変換するためにmongod--ldapUserToDNMapping を使用する必要がある場合があります。

• LDAP のシンプル バインドにより LDAP 認証を実行し、ユーザーが MongoDB に対し、完全な LDAP 識別名ではないユーザー名で認証されます。

• LDAP authorization query template識別名を必要とする を使用します。

• x.509 や kerberos などのさまざまな認証メカニズムを使用して Mongo DB に認証するクライアントのユーザー名を、認証用の完全な LDAP DN に変換します。

--ldapUserToDNMappingは、順序付けられたドキュメントの配列を表す引用符で囲まれたJSON文字列を要求しています。各ドキュメントには、正規式match substitutionldapQueryと、受信ユーザー名の変換に使用される または のテンプレートが含まれています。

配列内の各ドキュメントの形式は次のとおりです。

{
  match: "<regex>"
  substitution: "<LDAP DN>" | ldapQuery: "<LDAP Query>"
}

フィールド	説明	例
match	指定されたユーザー名と照合するための ECMAScript 形式の正規表現（regex）です。かっこで囲まれた各セクションは、substitution または ldapQuery で使用される正規表現キャプチャ グループを表します。	"(.+)ENGINEERING" "(.+)DBA"
substitution	正規表現に一致する認証名を LDAPmatch DN に変換する LDAP識別名（DN）形式のテンプレート。中括弧で囲まれた各数値は、 正規表現によって認証ユーザー名から抽出された、対応する正規表現キャプチャmatch グループに置き換えられます。 置換の結果は、RFC4514 のエスケープされた文字列である必要があります。	"cn={0},ou=engineering, dc=example,dc=com"
ldapQuery	正規表現に一致する認証名をmatch RFC4515 と RFC4516 に従ってエンコードされた LDAP クエリ URI に挿入する LDAP クエリ形式のテンプレート。中括弧で囲まれた各数値は、 式を介して認証ユーザー名から抽出された、対応する正規表現キャプチャmatch グループに置き換えられます。mongod は LDAPサーバーに対してクエリを実行し、認証されたユーザーの LDAP DN を検索します。mongod は変換を成功させるために返された結果を 1 つだけ必要とするか、mongod はこの変換をスキップします。	"ou=engineering,dc=example, dc=com??one?(user={0})"

注意

RFC4514 、RFC 4515、RFC 4516、または LDAP クエリの説明は、 MongoDBドキュメントの範囲外です。 RFC を直接確認するか、希望する LDAPリソースを使用してください。

配列内の各ドキュメントに対して、substitution または ldapQuery のいずれかを使用する必要があります。同じ文書で両方を指定することはできません。

認証または承認を実行する際に、mongod は配列内の各ドキュメントを所定の順序で順番に処理し、認証ユーザー名を match フィルターと照合します。一致が見つかった場合、mongod は変換を適用し、その出力をユーザーの認証に使用します。mongod は配列内の残りのドキュメントはチェックしません。

指定されたドキュメントが指定された認証名と一致しない場合、mongod はドキュメントのリストをさらにたどって新たに一致するものを探します。どのドキュメントにも一致するものが見つからない場合、またはドキュメントで説明されている変換が失敗した場合、mongod はエラーを返します。

mongod また、 は LDAP サーバーとのネットワーク接続や認証に失敗して変換の 1 つを評価できない場合にもエラーを返します。 mongodは接続リクエストを拒否し、配列内の残りのドキュメントをチェックしません。

MongoDB5.0 以降、マッピング ドキュメントの代わりに、--ldapUserToDNMapping は空の文字列"" または空の配列[ ] を受け入れます。空の string または空の配列を--ldapUserToDNMapping に指定すると、 MongoDB は認証されたユーザー名をLDAP DN としてマッピングします。以前のバージョンでは、空のマッピングドキュメントを提供するとマッピングが失敗していました。

例

次に示すのは、2 つの変換ドキュメントです。1 番目のドキュメントは @ENGINEERING で終わる文字列に一致し、サフィックスの前にあるものはすべて正規表現のキャプチャ グループに格納します。2 番目のドキュメントは @DBA で終わる文字列に一致し、サフィックスの前にあるものはすべて正規表現のキャプチャ グループに格納します。

重要--ldapUserToDNMapping : 配列を string として に渡す必要があります。

"[
   {
      match: "(.+)@ENGINEERING.EXAMPLE.COM",
      substitution: "cn={0},ou=engineering,dc=example,dc=com"
   },
   {
      match: "(.+)@DBA.EXAMPLE.COM",
      ldapQuery: "ou=dba,dc=example,dc=com??one?(user={0})"
   }
]"

ユーザー名 alice@ENGINEERING.EXAMPLE.COM のユーザーが最初のドキュメントと一致します。正規表現キャプチャ グループ {0} は文字列 alice に対応します。結果の出力は DN "cn=alice,ou=engineering,dc=example,dc=com" です。

ユーザー名 bob@DBA.EXAMPLE.COM のユーザーが 2 番目のドキュメントと一致します。正規表現キャプチャ グループ {0} は文字列 bob に対応します。結果の出力は、LDAP クエリの "ou=dba,dc=example,dc=com??one?(user=bob)" です。mongod は LDAP サーバーに対してこのクエリを実行し、結果として "cn=bob,ou=dba,dc=example,dc=com" を返します。

--ldapUserToDNMappingが設定されていない場合、mongod は LDAPサーバーに対してユーザーを認証または承認しようとする際に、ユーザー名を変換しません。

この設定は、実行中の mongod で setParameter データベースコマンドを使用して設定できます。

--ldapAuthzQueryTemplate <string>

MongoDB Enterprise でのみ使用できます。

RFC4515 と RFC4516 に準拠して形式された相対的 LDAP クエリURLmongod で、認証されたユーザーが属する LDAP グループを取得するために が実行します。クエリは、--ldapServers で指定されたホストに対して相対的です。

URL では、次の置換トークンを使用できます。

置換トークン	説明
{USER}	認証されたユーザー名を置き換えるか、 が指定されている場合はtransformed username mappingユーザー名を置き換えます。
{PROVIDED_USER}	認証または LDAP transformation の前に、指定されたユーザー名を置き換えます。

クエリ URL を作成する際は、LDAP パラメーターの順序が次の RFC4516 に準拠しているようにします。

[ dn  [ ? [attributes] [ ? [scope] [ ? [filter] [ ? [Extensions] ] ] ] ] ]

クエリに属性が含まれている場合、mongod はクエリが検索するのはこのエンティティがノードである DN であると想定します。

クエリに属性が含まれていない場合、mongod はクエリが検索するのはユーザーがメンバーであるすべてのエンティティであると想定します。

クエリによって返される各 LDAP DN に対して、mongod は承認されたユーザーに admin データベース上の対応するロールを割り当てます。admin データベースのロールが DN と完全に一致する場合、mongod はそのロールに割り当てられたロールと権限をユーザーに付与します。ロール作成の詳細については、db.createRole() メソッドを参照してください。

例

この LDAP クエリは、LDAP ユーザー オブジェクトの memberOf 属性にリストされているすべてのグループを返します。

"{USER}?memberOf?base"

LDAP 構成に、ユーザー スキーマの一部として memberOf 属性が含まれていない場合、グループ メンバーシップのレポート作成用に別の属性がある場合、属性を通じてグループ メンバーシップを追跡していない場合があります。クエリは、独自の LDAP 設定に基づいて設定します。

設定されていない場合、mongod は LDAP を使用してユーザーを認証できません。

この設定は、実行中の mongod で setParameter データベースコマンドを使用して設定できます。

注意

RFC4515 、RFC 4516、または LDAP クエリの説明は、 MongoDBドキュメントの範囲外です。 RFC を直接確認するか、希望する LDAPリソースを使用してください。

ストレージのオプション

--storageEngine string

デフォルト: wiredTiger

mongod データベースの ストレージ エンジンを指定します。使用可能な値は次のとおりです。

値	説明
wiredTiger	WiredTiger ストレージ エンジン を指定します。
inMemory	自己管理型配置の インメモリ ストレージ エンジン を指定します。 MongoDB Enterprise でのみ使用できます。

で指定されたもの以外のストレージエンジンによって生成されたデータファイルを含む --dbpath--storageEngineを使用してmongod を起動しようとすると、mongod は起動しません。

--dbpath <path>

デフォルト: Linux と macOS では /data/db、Windows では \data\db

mongod インスタンスがデータをストアするディレクトリです。

MongoDB のパッケージ マネージャー インストールに含まれるデフォルトの構成ファイルを使用する場合、対応する storage.dbPath 設定では別のデフォルトが使用されます。

--dbpath--storageEngine内のファイルは、 で指定されたストレージエンジンに対応している必要があります。データファイルが--storageEngine に対応していない場合、mongod は起動しません。

--directoryperdb

各データベースのデータを保存するには、個別のディレクトリを使用します。ディレクトリは--dbpath ディレクトリの下にあり、各サブディレクトリ名はデータベース名に対応しています。

mongodインメモリストレージエンジンを使用する インスタンスでは使用できません。

MongoDB5.0 以降、--directoryperdb が有効になっている場合にデータベース内の最終コレクションを削除すると（またはデータベース自体を削除すると）、そのデータベースの新しく空になったサブディレクトリが削除されます。

--directoryperdb既存のデプロイメントの オプションを変更する方法は以下の通りです。

• スタンドアロン インスタンスの場合:

  1. 既存のmongodump mongodインスタンスで を使用してバックアップを生成します。

  2. mongod インスタンスを停止します。

  3. --directoryperdb値を追加し、新しいデータディレクトリを構成する

  4. mongod インスタンスを再起動します。

  5. mongorestoreを使用して新しいデータディレクトリを作成します。

• レプリカセットの場合:

  1. セカンダリ ノードを停止します。

  2. --directoryperdb値を追加し、 そして セカンダリ メンバーに新しいデータディレクトリを設定します。

  3. そのセカンダリを再起動します。

  4. 最初の同期を使用して新しいデータディレクトリを作成します。

  5. 残りのセカンダリも同じ方法で更新します。

  6. プライマリを降格させ、降格させたノードを同様に更新します。

--syncdelay <value>

デフォルト: 60

MongoDB がデータをデータファイルにフラッシュするまでの時間を制御します。

この値は本番システムでは設定しないでください。ほとんどすべての状況において、デフォルト設定を使用するべきです。

mongodプロセスはデータをジャーナルにすばやく書込み、データファイルには遅延して書き込みます。--syncdelay はジャーナリングには影響しませんが、 --syncdelay0が に設定されていると、ジャーナルにより利用可能なディスクスペースが最終的にすべて消費されます。

mongodインメモリストレージエンジンを使用する インスタンスでは使用できません。

永続的なデータを提供するために、 WiredTigerはチェックポイントを使用します。 詳細については、「ジャーナリングと WiredTiger ストレージ エンジン 」を参照してください。

--upgrade

--dbpath必要に応じて、 によって指定されたファイルのディスク上のデータ形式を最新バージョンにアップグレードします。

このオプションは、データファイルが古い形式の場合の mongod の操作にのみ影響します。

ほとんどの場合、この値を設定しない方が、アップグレードプロセスを最大限にコントロールできます。アップグレード プロセスの詳細については、MongoDB リリースノートを参照してください。

--repair

mongod インスタンスのすべてのデータベースに対して修復ルーチンを実行します。

MongoDB 5.0 以降:

• 修復操作では、コレクションを検証して不整合を見つけ、可能であれば修正するため、インデックスの再構築を回避できます。

• コレクションのデータファイルがサルベージされた場合、または検証ステップで修正できない不整合がコレクションにある場合は、すべてのインデックスが再構築されます。

Tip

ジャーナリングを有効にして実行している場合、サーバーはジャーナル ファイルを使用してデータファイルを自動的にクリーンな状態に復元できるため、修復を実行する必要はほとんどありません。ただし、ディスク レベルのデータ破損から回復する必要がある場合は、修復を実行する必要があるかもしれません。

警告

• mongod --repair他に選択肢がない場合にのみ、 を使用してください。この操作、修復プロセス中に破損したデータは削除され、保存はされません。

• --repairレプリカセットノードに対して を実行中しないでください。

  • レプリカセット ノードを修復する際に、データの完全なコピー（最近のバックアップやレプリカセットの完全なノードなど）が使用可能な場合は、代わりにその完全なコピーから復元します。 詳しくは「自己管理型レプリカセットのノードの再同期 」を参照してください。

  • mongod --repairレプリカセットノードに対して を実行し、その操作データ またはメタデータが変更される場合でも、ノードをレプリカセットに再び追加するには、完全再同期を実行する必要があります。

• --repairを使用する前に、 ディレクトリのバックアップコピーを作成してくださいdbpath 。

• 何らかの理由で修復が完了しなかった場合は、--repair オプションを使用してインスタンスを再起動する必要があります。

--journalCommitInterval <value>

デフォルト: 100

mongod プロセスがジャーナリング操作の間に許容する最大時間（ミリ秒単位）。値の範囲は 1 ミリ秒から 500 ミリ秒です。値を小さくすると、ジャーナルの持続性は向上しますが、ディスクのパフォーマンスは低下します。

WiredTiger では、デフォルトのジャーナル コミット間隔は 100 ミリ秒です。j:true を含む、または意味する書込み (write) によって、ジャーナルが即座に同期されます。同期の頻度に影響する詳細とその他の条件については、「ジャーナリング プロセス」を参照してください。

mongodインメモリストレージエンジンを使用する インスタンスでは使用できません。

WiredTiger のオプション

--wiredTigerCacheSizeGB <float>

WiredTiger がすべてのデータに使用する内部キャッシュの最大サイズを定義します。インデックス構築によって消費されるメモリ（maxIndexBuildMemoryUsageMegabytes を参照）は、WiredTiger キャッシュ メモリとは別です。

WiredTiger の内部キャッシュサイズをデフォルト値より大きくしないようにしてください。ユースケースでその必要がある場合は、 を使用して、使用可能なメモリの最大--wiredTigerCacheSizePct 80% の割合を指定できます。値の範囲は.0 256GBから10000 GBまでです。

詳細については、メモリの使用を参照してください。

注意

ホストにプロビジョニングされたメモリの量よりも少ないRAMを使用するように構成されたコンテナで実行中場合など、場合によっては、 制限を考慮する必要があります。WiredTiger は特定のコンテナのメモリ制限を考慮しない場合があるため、 WiredTigerキャッシュを適切な値に構成する必要がある場合があります。

WiredTiger が使用可能な最大RAM量として使用する値 memory limit を表示するには、hostInfo コマンドを使用します。

--wiredTigerCacheSizePct <float>

キャッシュに割り当てるメモリの最大量を物理RAMの割合で定義します。インデックス構築が消費するメモリ（maxIndexBuildMemoryUsageMegabytes を参照）は、 WiredTigerキャッシュメモリとは別です。

使用可能なメモリの最大 80% の割合を指定できます。計算値の範囲は 0.256 GBから 10000 GBです。例、2 GBのRAMを使用するシステムでは、--wiredTigerCacheSizePct を 10 に設定することはできません。これは、2 GBの 10% が 0.2 GB であり、これは 0 より小さいためです。 }.256 GB。

メモリ制限の詳細については、メモリの使用を参照してください。

注意

ホストにプロビジョニングされたメモリの量よりも少ないRAMを使用するように構成されたコンテナで実行中場合など、場合によっては、 制限を考慮する必要があります。WiredTiger は特定のコンテナのメモリ制限を考慮しない場合があるため、 WiredTigerキャッシュを適切な値に構成する必要がある場合があります。

WiredTiger が使用可能な最大RAM量として使用する値 memory limit を表示するには、hostInfo コマンドを使用します。

ファイルシステム キャッシュを使用すると、MongoDB は WiredTiger キャッシュや他のプロセスによって使用されていないすべての空きメモリを自動的に使用します。

注意

--wiredTigerCacheSizePctはWiredTiger の内部キャッシュのサイズを制限します。オペレーティング システムは、使用可能な空きメモリを ファイルシステムキャッシュに使用するため、圧縮されたMongoDBデータファイルをメモリに保持できます。さらに、オペレーティング システムは、空きRAMを使用して、ファイルシステム ブロックとファイルシステムキャッシュをバッファリングします。

RAM の利用者増加に対応するためには、WiredTiger の内部キャッシュ サイズを減らす必要がある場合があります。

デフォルトのWiredTiger内部キャッシュサイズの値は、マシンごとに 1 つの インスタンスがあることを前提としています。mongodmongod 1 台のマシンに複数のMongoDBインスタンスが存在する場合は、設定値を減らして他の インスタンスに対応できるようにしてください。

システムで使用可能なすべてのRAMにアクセス mongodできないコンテナ（lxc cgroups、--wiredTigerCacheSizePct 、 Dockerなど）で を実行する場合は、 または--wiredTigerCacheSizeGB を設定する必要があります}を、コンテナで使用可能なRAMの量より小さい値に設定します。正確な量は、コンテナ内で実行中の他のプロセスによって異なります。詳しくは、memLimitMB を参照してください。

または のいずれか--wiredTigerCacheSizePct 1--wiredTigerCacheSizeGB つだけを指定できます。

--wiredTigerJournalCompressor <compressor>

デフォルト: snappy

WiredTiger ジャーナリング データを圧縮するのに使用する圧縮タイプを指定します。

利用可能なコンプレッサーは次のとおりです。

• none

• Snappy

• zlib

• zstd

--wiredTigerDirectoryForIndexes

を使用して--dbpath mongod--wiredTigerDirectoryForIndexesを起動すると、mongod はインデックスとコレクションをデータ（ ）ディレクトリの下の個別のサブディレクトリに保存します。具体的には、mongod indexはインデックスを という名前のサブディレクトリに保存し、コレクションデータをcollection という名前のサブディレクトリに保存します。

シンボリック リンクを使用すると、インデックスに別の場所を指定できます。具体的には、mongod インスタンスが実行されていないときに、index サブディレクトリを宛先に移動し、データディレクトリの下に新しい宛先への index という名前のシンボリック　リンクを作成します。

--wiredTigerCollectionBlockCompressor <compressor>

デフォルト: snappy

コレクション データのデフォルトの圧縮率を指定します。これは、コレクションを作成する際、コレクションごとに上書きできます。

利用可能なコンプレッサーは次のとおりです。

• none

• Snappy

• zlib

• zstd

--wiredTigerCollectionBlockCompressor--wiredTigerCollectionBlockCompressorは作成されたすべてのコレクションに影響します。既存のMongoDBデプロイで の値を変更すると、新しいコレクションのすべてで指定されたコンプレッサーが使用されます。既存のコレクションは、作成時に指定されたコンプレッサー、またはその時点でのデフォルトのコンプレッサーを引き続き使用します。

--wiredTigerIndexPrefixCompression <boolean>

デフォルト: true

インデックスデータの接頭辞圧縮を有効または無効にします。

true--wiredTigerIndexPrefixCompressionインデックスデータの接頭辞圧縮を有効にするには falseに を指定し、インデックスデータの接頭辞圧縮を無効にするには を指定します。

--wiredTigerIndexPrefixCompression--wiredTigerIndexPrefixCompressionの設定は作成されたすべてのインデックスに影響します。既存のMongoDBデプロイで の値を変更すると、すべての新しいインデックスで接頭辞圧縮が使用されます。既存のインデックスは影響を受けません。

レプリケーションのオプション

--replSet <setname>

レプリケーションを構成します。このセットの引数としてレプリカセット名を指定します。レプリカセット内のすべてのホストは同じセット名を持つ必要があります。

アプリケーションが複数のレプリカセットに接続する場合、それぞれのセットには異なる名前を付ける必要があります。一部のドライバーは、レプリカセットの名前で接続をグループ化します。

--oplogSize <value>

oplogの最大サイズ（メガバイト単位）。 oplogSize設定では、ディスク上のサイズではなく、oplog の非圧縮サイズが構成されます。

注意

oplog は、majority commit point が削除されるのを回避するために、設定されたサイズ制限を超えて大きくなることがあります。

mongod プロセスのデフォルト設定では、使用可能な最大スペース量に基づいて oplog が作成されます。64 ビット システムの場合、oplog は通常、使用可能なディスク領域の 5% を占めます。

mongodが初めてoplogを作成した後は、 オプションを変更してもoplogのサイズには影響しません。--oplogSize mongodreplSetResizeOplogreplSetResizeOplogの起動後にoplog の最小保持期間を変更するには、mongod を使用します。 を使用すると、replSetResizeOplog プロセスを再起動せずにoplog のサイズを動的に変更できます。 を使用して行った変更を再起動後も保持するには、--oplogSize の値をアップデートします。

詳細については、oplog サイズを参照してください。

--oplogMinRetentionHours <value>

oplog エントリーを保持する最小時間数を指定します。10 進数値は時間単位を表します。 たとえば、 1.5の値は 1 時間と 30 分を表します。

値は 0 以上である必要があります。値が 0 の場合、構成された最大 oplog サイズを維持するために、mongod は最も古いエントリから oplog を切り捨てる必要があることを示します。

デフォルトは 0 です。

--oplogMinRetentionHours　を指定して開始された mongod は次の場合にのみ oplog エントリを削除します。

• oplog が設定された最大 oplog サイズに達し、かつ

• oplog エントリーは、ホスト システム クロックに基づいて構成された時間数よりも以前のものです。

最小の oplog 保持期間が設定されている場合、mongod は次のように動作します。

• oplog は、設定された時間数だけ oplog エントリーを保持できるように、制約なしに拡張されます。そのため、書き込みが大量で保存期間が長い組み合わせにした場合は、システム ディスク容量が減少または枯渇する可能性があります。

• oplog が最大サイズを超えると、oplog が最大サイズに戻った、または最大サイズが小さく設定された場合にも、mongod はそのディスク領域を保持し続ける可能性があります。「oplog サイズを縮小してもすぐにディスク領域が戻らない」を参照してください。

• mongod は、oplogエントリの保持を強制するときに、システムのウォールクロックとoplogエントリ作成のウォールクロック時間を比較します。クラスター コンポーネント間のクロック ドリフトにより、予期しないoplog保持動作が発生する可能性があります。クラスター ノード間のクロック同期の詳細については、「クロック同期」を参照してください。

を起動した後にoplog replSetResizeOplogreplSetResizeOplogの最小保持期間を変更するには、mongodmongod を使用します。replSetResizeOplog を使用すると、 プロセスを再起動せずにoplog のサイズを動的に変更できます。 を使用して行った変更を再起動後も保持するには、--oplogMinRetentionHours の値をアップデートします。

--enableMajorityReadConcern

デフォルト: true

"majority" 読み取り保証 (read concern) のサポートを設定します。

MongoDB5.0 以降では、 は変更されず、常に--enableMajorityReadConcern trueに設定されます。 MongoDBの以前のバージョンでは、--enableMajorityReadConcern は構成可能でした。

警告

3 ノードのプライマリセカンダリアービタ（PSA）アーキテクチャを使用している場合は、次の点を考慮してください。

• セカンダリが使用できないか、遅延している場合、書込み保証 (write concern) "majority" が原因でパフォーマンスの問題が発生することがあります。こうした問題を軽減する方法については、「自己管理型 PSA レプリカセットのパフォーマンス問題の軽減」を参照してください。

• グローバル デフォルト "majority" を使用しており、書込み保証 (write concern) が過半数のサイズより小さい場合、クエリは古い（完全には複製されていない）データを返すことがあります。

シャーディングされたクラスターのオプション

--configsvr

コンフィギュレーションサーバーを起動する場合は必須です。

このmongod インスタンスがシャーディングされたクラスターのコンフィギュレーションサーバーとして機能することを宣言します。このオプションで実行中場合、クライアント（つまり、他のクラスター コンポーネント）は、config と 以外のデータベースにデータを書込むことができません。このオプションを使用したadmin のデフォルトポートはmongod 27019であり、デフォルトの--dbpath ディレクトリは/data/configdb です。

重要

を使用してMongoDBサーバーを起動する場合は、--configsvr --replSetも指定する必要があります。

非推奨のミラー化された mongod インスタンスをコンフィギュレーションサーバー（SCCC）として使用することはサポートされなくなりました。

レプリカセット コンフィギュレーションサーバー（CSRS）は、WiredTiger ストレージ エンジン を実行する必要があります。

--configsvrオプションはローカルoplogを作成します。

--configsvrでは オプションは使用 しない--shardsvr でください。コンフィギュレーションサーバーは シャードサーバーにすることはできません。

--configsvrskipShardingConfigurationChecksパラメーターとともに を使用しないでください。つまり、メンテナンス操作のためにmongod をスタンドアロンとして一時的に起動する場合は、パラメーター を含め、 を除外します。メンテナンスが完了したら、skipShardingConfigurationChecks --configsvrパラメータを削除し、skipShardingConfigurationChecks --configsvrで再起動します。

--shardsvr

シャード サーバーを起動する場合に必要です。

この mongod インスタンスをシャーディングされたクラスター内のシャードとして設定します。これらのインスタンスのデフォルト ポートは 27018 です。

重要

を使用してMongoDBサーバーを起動する場合は、--shardsvr --replSetも指定する必要があります。

--shardsvrskipShardingConfigurationChecksパラメーターとともに を使用しないでください。つまり、メンテナンス操作のためにmongod をスタンドアロンとして一時的に起動する場合は、パラメーター を含め、 を除外します。メンテナンスが完了したら、skipShardingConfigurationChecks --shardsvrパラメータを削除し、skipShardingConfigurationChecks --shardsvrで再起動します。

--replicaSetConfigShardMaintenanceMode

メンテナンスモードで起動するように mongodインスタンスを構成します。オプションは一部のスタートアップチェックを無効にします。これにより、レプリカセットを埋め込みコンフィギュレーションシャード を持つシャーディングされたクラスターに変換できます。

バージョン8.3の新機能。

TLS のオプション

--tlsMode <mode>

すべてのネットワーク接続に使用される TLS を有効にします。--tlsMode オプションの引数には以下のいずれかを指定します。

値	説明
disabled	サーバーは TLS を使用しません。
allowTLS	サーバー間の接続では TLS は使用されません。着信接続の場合、サーバーでは TLS と非 TLS のいずれも受け付けます。
preferTLS	サーバー間の接続では TLS が使用されます。着信接続の場合、サーバーでは TLS と非 TLS のいずれも受け付けます。
requireTLS	サーバーは TLS 暗号化接続のみを使用し、受け入れます。

--tlsCAFile または tls.CAFile が指定されておらず、X.509 認証を使用していない場合は、tlsUseSystemCA パラメータをtrue に設定する必要があります。これにより、MongoDB は TLS 対応サーバーに接続する際にシステム全体の CA 証明書ストアを使用します。

X.509 認証を使用する場合、 を使用しない限り、--tlsCAFile またはtls.CAFile --tlsCertificateSelectorを指定する必要があります。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsCertificateKeyFile <filename>

TLS 証明書とキーの両方を含む .pem ファイルを指定します。

macOS--tlsCertificateSelector またはWindowsでは、PEM キーファイルの代わりに、--tlsCertificateKeyFile --tlsCertificateSelectorオプションを使用してオペレーティング システムのセキュリティで保護されている証明書ストアからの証明書を指定できます。 オプションと オプションは相互に排他的です。指定できるのは 1 つだけです。

• Linux/BSD では、TLS/SSL が有効になっている場合に--tlsCertificateKeyFile を指定する必要があります。

• Windowsまたは macOS では、TLS/SSL が有効になっている場合に--tlsCertificateKeyFile--tlsCertificateSelector または のいずれかを指定する必要があります。

  重要

  MongoDBではWindowsの場合のみ、暗号化された PEM ファイルをサポートしていません。暗号化されたmongod PEMファイルがあると、 は起動に失敗します。 Windows上で TLS 用の証明書を安全に保存し、使用するには、--tlsCertificateSelector を使用します。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsCertificateKeyFilePassword <value>

証明書鍵ファイルを復号化するためのパスワードを指定します（ ）。証明書鍵ファイルが暗号化されている場合にのみ、--tlsCertificateKeyFile --tlsCertificateKeyFilePasswordオプションを使用します。いずれの場合も、mongod はすべてのログとレポート出力からパスワードを削除します。

• Linux /BSD で PEMファイル内の秘密キーが暗号化されており、かつ オプションを指定していない場合、 MongoDB--tlsCertificateKeyFilePassword はパスフレーズの入力を要求します。詳細については、「 TLS/SSL 証明書のパスフレーズ 」を参照してください。

• macOS で PEMファイル内の秘密キーが暗号化されている場合、 オプションを明示的に指定する必要があります。あるいは、PEMファイルの代わりに、セキュア--tlsCertificateKeyFilePassword システム ストア（--tlsCertificateSelector を参照）から証明書を取得して使用するか、暗号化されていない PEMファイルを使用することもできます。

• Windowsでは、 MongoDBmongod は暗号化された証明書をサポートしていません。暗号化された PEMファイルがあると、 は処理に失敗します。代わりに--tlsCertificateSelector を使用してください。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--clusterAuthMode <option>

デフォルト: keyFile

クラスター認証に使用される認証モードです。内部 X.509 認証を使用する場合は、ここで指定します。このオプションには、次のいずれかの値を指定できます。

値	説明
keyFile	認証にはキーファイルを使用します。キーファイルのみを受け付けます。
sendKeyFile	ローリングアップグレードを目的としたものです。認証のためにキーファイルを送信しますが、キーファイルと X.509 証明書の両方を受け入れることができます。
sendX509	ローリングアップグレードを目的としたものです。認証のために X.509 証明書を送信しますが、キーファイルと X.509 証明書の両方を受け入れることができます。
x509	推奨。認証のために X.509 証明書を送信し、X.509 証明書のみを受け入れます。

--tlsCAFile または tls.CAFile が指定されておらず、X.509 認証を使用していない場合は、tlsUseSystemCA パラメータをtrue に設定する必要があります。これにより、MongoDB は TLS 対応サーバーに接続する際にシステム全体の CA 証明書ストアを使用します。

X.509 認証を使用する場合、 を使用しない限り、--tlsCAFile またはtls.CAFile --tlsCertificateSelectorを指定する必要があります。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsClusterFile <filename>

クラスターまたはレプリカ セットのメンバーシップ認証用の X.509 証明書キー ファイルを含む .pem ファイルを指定します。

macOS--tlsClusterCertificateSelector またはWindowsでは、PEM キーファイルの代わりに、--tlsClusterFile --tlsClusterCertificateSelectorオプションを使用してオペレーティング システムのセキュリティで保護されている証明書ストアからの証明書を指定できます。 オプションと オプションは相互に排他的です。指定できるのは 1 つだけです。

--tlsClusterFile.pemが内部クラスター認証用の--tlsClusterCertificateSelector .pemファイルまたは代替の を指定しない場合、クラスターは--tlsCertificateKeyFile オプションで指定された ファイルまたは--tlsCertificateSelector によって返された証明書を使用します。

X.509 認証を使用する場合、 を使用しない限り、--tlsCAFile またはtls.CAFile --tlsCertificateSelectorを指定する必要があります。

mongodmongos提示された X.509 証明書が30 mongod/mongosのホスト システム時間から 日以内に期限切れになる場合、 / は接続時に警告を記録します。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

重要

MongoDBではWindowsの場合のみ、暗号化された PEM ファイルをサポートしていません。暗号化されたmongod PEMファイルがあると、 は起動に失敗します。 Windowsのメンバーシップ認証で使用する証明書を安全に保存してアクセスするには、--tlsClusterCertificateSelector を使用します。

--tlsCertificateSelector <parameter>=<value>

注意

の代替としてWindowsと macOS--tlsCertificateKeyFile で利用できます。

オペレーティング システムの証明書ストアから TLS 用に一致する証明書を選択するために、証明書プロパティを指定します。

--tlsCertificateKeyFileと オプションは相互に排他的です。指定できるのは 1--tlsCertificateSelector つだけです。

--tlsCertificateSelector<property>=<value>は 形式の引数を受け入れます。プロパティは次のいずれか 1 つになります。

プロパティ	値の型	説明
subject	ASCII 文字列	証明書のサブジェクト名またはコモンネーム
thumbprint	hex 文字列	SHA-1 ダイジェストによって公開キーを識別するために使用される、16進数で表現されるバイト シーケンス。 thumbprint は、fingerprint と呼ばれることもあります。

システムの SSL 証明書ストアを使用する場合、 OCSP（オンライン証明書ステータス プロトコル）を使用して証明書の失効状態を検証します。

mongodは、指定された TLS 証明書の完全な証明書チェーンを検証するために必要な CA 証明書をオペレーティング システムのセキュリティで保護された証明書ストアで検索します。具体的には、安全な証明書ストアには、TLS 証明書への完全な証明書チェーンを構築するために必要なルート CA 証明書と中間 CA 証明書が含まれている必要があります。ルート CA 証明書と中間 CA 証明書の指定には、--tlsClusterCAFile または --tlsCAFileを使用 しない でください

たとえば、TLS/SSL 証明書が単一のルート CA 証明書で署名されている場合、セキュリティで保護された証明書ストアにはそのルート CA 証明書が含まれている必要があります。TLS/SSL 証明書が中間 CA 証明書で署名されている場合、セキュリティで保護された証明書ストアには中間 CA 証明書とルート CA 証明書が含まれている必要があります。

注意

net.tls.certificateSelector または --tlsCertificateSelector を thumbprint に設定している場合、rotateCertificates コマンドまたは db.rotateCertificates() シェルメソッドは使用できません。

--tlsClusterCertificateSelector <parameter>=<value>

注意

の代替としてWindowsと macOS--tlsClusterFile で利用できます。

内部 x.509 メンバーシップ認証用にオペレーティング システムの証明書ストアから一致する証明書を選択するための証明書プロパティを指定します。

--tlsClusterFile--tlsClusterCertificateSelectorオプションと オプションは相互に排他的です。指定できるのは 1 つだけです。

--tlsClusterCertificateSelector<property>=<value>は 形式の引数を受け入れます。プロパティは次のいずれか 1 つになります。

プロパティ	値の型	説明
subject	ASCII 文字列	証明書のサブジェクト名またはコモンネーム
thumbprint	hex 文字列	SHA-1 ダイジェストによって公開キーを識別するために使用される、16進数で表現されるバイト シーケンス。 thumbprint は、fingerprint と呼ばれることもあります。

mongodは、指定されたクラスター証明書の完全な証明書チェーンを検証するために必要な CA 証明書をオペレーティング システムのセキュリティで保護された証明書ストアで検索します。具体的には、安全な証明書ストアには、クラスター証明書への完全な証明書チェーンを構築するために必要なルート CA 証明書と中間 CA 証明書が含まれている必要があります。ルート CA 証明書と中間 CA 証明書の指定には、--tlsClusterCAFile または --tlsCAFileを使用 しない でください。

たとえば、クラスター証明書が単一のルート CA 証明書で署名されている場合、セキュリティで保護された証明書ストアにはそのルート CA 証明書が含まれている必要があります。クラスター証明書が中間 CA 証明書で署名されている場合、セキュリティで保護された証明書ストアには中間 CA 証明書とルート CA 証明書が含まれている必要があります。

mongodmongos提示された X.509 証明書が30 mongod/mongosのホスト システム時間から 日以内に期限切れになる場合、 / は接続時に警告を記録します。

--tlsClusterPassword <value>

で指定された X.509 --tlsClusterFile--tlsClusterPassword証明書キーファイルを復号化するためのパスワードを指定します。証明書キーファイルが暗号化されている場合にのみ、 オプションを使用します。いずれの場合も、mongod はすべてのログとレポート出力からパスワードを削除します。

• Linux /BSD で X.509 ファイル内の秘密キーが暗号化されており、かつ--tlsClusterPassword オプションを指定していない場合、 MongoDB はパスフレーズの入力を要求します。詳細については、「 TLS/SSL 証明書のパスフレーズ 」を参照してください。

• macOS で X.509 --tlsClusterPasswordファイル内の秘密キーが暗号化されている場合は、 オプションを明示的に指定する必要があります。あるいは、クラスター PEMファイルの代わりに、セキュア システム ストア（--tlsClusterCertificateSelector を参照）から証明書を取得して使用するか、暗号化されていない PEMファイルを使用することもできます。

• Windowsでは、 MongoDBmongod は暗号化された証明書をサポートしていません。暗号化された PEMファイルがあると、 は処理に失敗します。代わりに--tlsClusterCertificateSelector を使用してください。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsCAFile <filename>

証明書認証機関からのルート証明書チェーンを含む .pem ファイルを指定します。相対パスまたは絶対パスを使用して .pem ファイルのファイル名を指定します。

重要

mongodTLS/SSL を有効にして インスタンスを起動する場合は、--tlsCAFile フラグ、net.tls.CAFile 構成オプション、またはtlsUseSystemCA パラメータの値を指定する必要があります。

--tlsCAFile、tls.CAFile、tlsUseSystemCA は、すべて相互に排他的です。

Windows と macOS のみ

--tlsCertificateSelector および/または --tlsClusterCertificateSelector を使用する場合、ルート CA 証明書と中間 CA 証明書の指定には --tlsCAFile を使用 しません 。 --tlsCertificateSelector 証明書および/または --tlsClusterCertificateSelector 証明書の完全な信頼チェーンの検証に必要なすべての CA 証明書は、安全な証明書ストアに保存します。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsClusterCAFile <filename>

.pem接続を確立するクライアントによって提示された証明書を検証するために使用される証明機関からのルート証明書チェーンを含む ファイルを指定します。相対パスまたは絶対パスを使用して、.pem ファイルのファイル名を指定します。--tlsClusterCAFile には--tlsCAFile が設定されている必要があります。

--tlsClusterCAFile.pemが接続を確立するクライアントからの証明書を検証するための ファイルを指定しない場合、クラスターは オプションで指定された.pem --tlsCAFileファイルを使用します。

--tlsClusterCAFile クライアントからサーバー、サーバーからクライアントへのTLS ハンドシェイクの各部分を検証するために、異なる認証局を使用することができます。

Windows と macOS のみ

--tlsCertificateSelector および/または --tlsClusterCertificateSelector を使用する場合、ルート CA 証明書と中間 CA 証明書の指定には --tlsClusterCAFile を使用 しません 。 --tlsCertificateSelector 証明書および/または --tlsClusterCertificateSelector 証明書の完全な信頼チェーンの検証に必要なすべての CA 証明書は、安全な証明書ストアに保存します。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsCRLFile <filename>

証明書失効リストを含む .pem ファイルを指定します。相対パスまたは絶対パスを使用して .pem ファイルのファイル名を指定します。

注意

• macOS では CRLファイルを指定できません。代わりに、OCSP（オンライン証明書ステータス プロトコル）を使用して証明書の失効ステータスを検証するシステム SSL 証明書ストアを使用できます。システム SSL 証明書ストアを使用するには、--tlsCertificateSelector を参照してください。

• 証明書の失効を確認するために、MongoDB は CRL ファイルを指定するか、システム SSL 証明書ストアを使用する代わりに、デフォルトで OCSP（Online Certificate Status Protocol、オンライン証明書ステータス プロトコル）を使用しenables 。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsAllowInvalidCertificates

クラスター内の他のサーバー上の TLS 証明書の検証チェックをバイパスし、無効な証明書を使用して接続できるようにします。

注意

X.509 認証を使用するときに --tlsAllowInvalidCertificates または tls.allowInvalidCertificates: true を指定した場合、無効な証明書は TLS 接続を確立するには十分ですが、認証には不十分です。

--tlsAllowInvalidCertificates設定を使用すると、 MongoDB無効な証明書の使用に関する警告がログに記録されます。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsAllowInvalidHostnames

プロセス間認証のためにレプリカセットまたはシャーディングされたクラスターの他のノードに接続するときに、TLS 証明書内のホスト名の検証を無効にします。これにより、証明書内のホスト名が設定されたホスト名と一致しない場合でも、mongod は他のノードに接続できるようになります。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsAllowConnectionsWithoutCertificates

デフォルトでは、サーバーは CA ファイルを使用するよう構成されていない限り、クライアント証明書の検証をバイパスします。CA ファイルが設定されている場合、次のルールが適用されます。

• mongod証明書を提供していないクライアントでは、接続が正常に確立されているという前提で、 または によって TLS/SSL 接続が暗号化されます。mongos

• 証明書を提示するクライアントの場合、 はmongod --tlsCAFileで指定されたルート証明書チェーンを使用して証明書の検証を実行し、無効な証明書を持つクライアントを拒否します。

--tlsAllowConnectionsWithoutCertificates混合配置に、 に証明書を提示しない、または提示できないクライアントを含む場合は、mongod オプションを使用します。

TLS と MongoDB の詳細については、TLS/SSL 暗号化用 MongoDB インスタンスの構成 および クライアントの TLS/SSL 構成 を参照してください。

--tlsDisabledProtocols <protocol(s)>

TLS で実行されている MongoDB サーバーが、特定のプロトコルを使用する接続を受け入れることを防ぎます。複数のプロトコルを指定するには、プロトコルをカンマで区切ったリストを使用します。

--tlsDisabledProtocolsは、次のプロトコルを認識します:TLS1_0 、TLS1_1 、TLS1_2 、TLS1_3 。

• macOS では、TLS1_1 を無効にして、TLS1_0 と TLS1_2 の両方を有効のままにすることはできません。他の 2 つのうち少なくとも 1 つを無効にする必要があります（例: TLS1_0,TLS1_1）。

• 複数のプロトコルを指定するには、プロトコルをカンマで区切ったリストとして指定します（例: TLS1_0,TLS1_1）。

• 認識できないプロトコルを指定すると、サーバーは起動しません。

• 指定の無効なプロトコルは、デフォルトの無効なプロトコルを上書きします。

MongoDB1.0 1.1は、システムで TLS + が利用可能な場合、TLS の使用を無効にします。無効になっている TLS1.0 を有効にするには、none から--tlsDisabledProtocols を指定します。

レプリカセットとシャーディングされたクラスターのノード間では、少なくとも 1 つのプロトコルが共通している必要があります。

Tip

プロトコルを許可しない

--tlsFIPSMode

mongodTLS ライブラリの FIPSモードを使用するように に指示します。 オプションを使用するには、システムに FIPS--tlsFIPSMode 準拠のライブラリが必要です。

MongoDB8.3 以降では、SCRAM-SHA-1 またはauthenticationMechanisms mongod --tlsFIPSModeも指定しながら、 にmongos --tlsFIPSMode を指定することはできません。

--tlsFIPSMode も指定しているときに authenticationMechanisms に SCRAM-SHA-1 を指定しようとすると、サーバーはエラーをスローし、次のようなメッセージをログに記録します。

SCRAM-SHA-1 is not allowed in FIPS mode.

注意

FIPS に準拠した TLS/SSL は MongoDB Enterprise でのみ利用できます。詳細については「MongoDB を FIPS 用に構成する」を参照してください。

プロファイラーのオプション

--profile <level>

デフォルト: 0

データベースプロファイラーレベルを設定します。次のプロファイラー レベルを使用できます。

0

プロファイラーはオフになっており、データは収集されません。これはデフォルトのプロファイラー レベルです。

1

プロファイラーは、 slowmsしきい値を超える操作、または指定されたフィルターに一致する操作のデータを収集します。

フィルターが設定されている場合、

• slowmsおよびsampleRateオプションはプロファイリングには使用されません。

• プロファイラーは、フィルターに一致する操作のみをキャプチャします。

2

プロファイラーは、すべての操作のデータを収集します。

レベル 2 に設定すると、プロファイラーはslowms と filter のユーザーが指定した値を無視します。

警告

プロファイリングにより、パフォーマンスが低下し、暗号化されていないクエリ データがシステム ログに公開されることがあります。プロファイラーを本番環境に設定して有効にする前に、パフォーマンスとセキュリティへの影響を慎重に検討してください。

パフォーマンス低下の可能性の詳細については、「プロファイラーのオーバーヘッド」を参照してください。

--slowms <integer>

デフォルト: 100

低速操作時間のしきい値（ミリ秒単位）。操作が実行される時間がこのしきい値より長いと、低速とみなされます。

低速操作は、MongoDB でその操作にかかった時間である workingMillis に基づいてログに記録されます。つまり、ロック待ちやフロー制御などの要因は、操作が低速操作のしきい値を超えるかどうかに影響しません。

logLevelが0に設定されている場合、MongoDB は slowOpSampleRate で決定されたレートで低速操作を診断ログに記録します

logLevel設定を引き上げると、レイテンシに関係なく、すべての操作が診断ログに表示されます。ただし、セカンダリによる低速の oplog エントリ メッセージのログ記録は除きます。セカンダリでは、低速の oploglogLevel エントリのみがログに記録されます。 を引き上げても、すべての oplog エントリがログに記録されるわけではありません。

mongodインスタンスの場合、 は診断ログと（有効になっている場合）プロファイラー--slowms に影響します。

Tip

Database Profiler

--defaultSlowInProgMS <integer>

デフォルト: 5000

進行中のクエリの低速操作時間のしきい値（ミリ秒単位）。MongoDB は、実行時間がこのしきい値より長い時間がかかる操作を、低速進行中のクエリとして記録します。MongoDB は、クエリ操作が時間しきい値を超えた時点で、クエリを進行中の低速クエリとしてログに記録します。

--slowOpSampleRate <double>

デフォルト: 1.0

プロファイリングまたはログに記録する必要がある低速操作の割合。--slowOpSampleRate 01は、 から までの値を受け入れます。

--slowOpSampleRateは、 レプリカセットのセカンダリ メンバーによるoplogエントリのログ記録の遅さに影響することはありません。セカンダリ ノードでは、 に関係なく、低速操作のしきい値よりも時間がかかるすべてのoplog--slowOpSampleRate のエントリがログ。

mongodインスタンスの場合、 は診断ログと（有効になっている場合）プロファイラー--slowOpSampleRate に影響します。

監査のオプション

--auditCompressionMode

バージョン5.3の新機能。

監査するログの暗号化の圧縮モードを指定します。また、--auditEncryptionKeyUID または--auditLocalKeyFile のいずれかを使用して監査するログの暗号化を有効にする必要があります。

このオプションは、次のいずれかの値に設定できます。

値	説明
zstd	監査ログを圧縮するには、zstd アルゴリズムを使用します。
none （デフォルト）	監査ログを圧縮しないでください。

注意

MongoDB Enterpriseでのみ利用可能です。MongoDB Enterprise と Atlas では構成要件が異なります。

--auditDestination

監査を有効にし、mongod がすべての監査イベントを送信する場所を指定します。

--auditDestination には次のいずれかの値を指定できます。

値	説明
syslog	監査イベントを JSON 形式で syslog に出力します。Windows では使用できません。監査メッセージの syslog 重大度レベルは info で、機能レベルは user です。 syslog メッセージの制限により、監査メッセージが切り捨てられる可能性があります。監査システムは、切り捨てを検出することも、切り捨て時にエラーを発生させることもありません。
console	監査イベントを JSON 形式で stdout に出力します。
file	監査するイベントを--auditPath --auditFormatで指定された形式で、 で指定されたファイルに出力します。

注意

MongoDB EnterpriseおよびMongoDB Atlasでのみ利用可能です。

--auditEncryptionKeyUID

バージョン6.0の新機能。

監査ログの暗号化用に KMIP（Key Management Interoperability Protocol）キーの一意の識別子を指定します。

このオプションと--auditLocalKeyFile は、併用できません。

注意

MongoDB Enterpriseでのみ利用可能です。MongoDB Enterprise と Atlas では構成要件が異なります。

--auditFormat

が --auditDestinationの場合の 監査file 用出力ファイルの形式を指定します。--auditFormat オプションには、次のいずれかの値を指定できます。

値	説明
JSON	監査するイベントをJSON形式で--auditPath で指定されたファイルに出力します。
BSON	監査するイベントをBSONバイナリ形式で、--auditPath で指定されたファイルに出力します。

監査イベントを JSON 形式のファイルに出力すると、BSON 形式のファイルに出力するよりもサーバーのパフォーマンスが低下します。

注意

MongoDB EnterpriseおよびMongoDB Atlasでのみ利用可能です。

--auditLocalKeyFile

バージョン5.3の新機能。

監査ログの暗号化用にローカル監査キー ファイルのパスとファイル名を指定します。

注意

キーが保護されていないため、このオプションはテスト目的でのみ使用してください。キーを保護するには、 と外部のKey Management Interoperability Protocol--auditEncryptionKeyUID (KMIP)サーバーを使用します。

両方のオプションを同時に使用することはできません。

注意

MongoDB Enterpriseでのみ利用可能です。MongoDB Enterprise と Atlas では構成要件が異なります。

--auditPath

の値が の場合の--auditDestination 監査file 用の出力ファイルを指定します。--auditPath オプションには、完全パス名または相対パス名のいずれかを指定できます。

注意

MongoDB EnterpriseおよびMongoDB Atlasでのみ利用可能です。

--auditFilter

監査システムが記録する操作の種類を制限するためにフィルターを指定します。このオプションは、次の形式のクエリ ドキュメントの文字列表現を取ります。

{ <field1>: <expression1>, ... }

<field>は、監査フィールド内の任意のフィールド（param ドキュメントで返されるフィールドを含む）にすることができます。<expression> はクエリ条件式です。

監査フィルターを指定するには、フィルター ドキュメントを一重引用符で囲み、ドキュメントを文字列として渡します。

構成ファイルで監査フィルターを指定するには、構成ファイルの YAML 形式を使用する必要があります。

注意

MongoDB EnterpriseおよびMongoDB Atlasでのみ利用可能です。

--auditSchema

デフォルト: mongo

バージョン8.0の新機能。

監査ログに使用される形式を指定します。--auditSchema には、次のいずれかの値を指定できます。

値	説明
mongo	ログは、MongoDB によって設計された形式で書き込まれます。 ログメッセージの例については、「mongo スキーマ監査メッセージ」を参照してください。
OCSF	ログは OCSF 形式で書かれています。このオプションは、ログプロセッサと互換性のある標準化された形式でログを提供します。 ログメッセージの例については、「OCSF スキーマ監査メッセージ」を参照してください。

inMemory のオプション

--inMemorySizeGB <float>

デフォルト: 物理 RAM の50%から 1 GBを引いた値。

インデックス、oplog（mongod がレプリカセットの一部である場合)、シャーディングされたクラスターのメタデータなど、インメモリ ストレージ エンジン データに割り当てるメモリの最大量です。

値の範囲は 256 MB から 10 TB までで、float にすることができます。

デフォルトで、インメモリ ストレージエンジンは物理 RAM の 50% から 1 GB を引いた量を使用します。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

暗号化のキー管理のオプション

--enableEncryption

デフォルト: false

WiredTiger ストレージ エンジンの暗号化を有効にします。暗号化キーと構成を渡すには、このオプションを有効にする必要があります。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--encryptionCipherMode <string>

デフォルト: AES256-CBC

保管時の暗号化に使用するモードです。

モード	説明
AES256-CBC	暗号ブロック チェーン モードの 256 ビット AES（Advanced Encryption Standard）
AES256-GCM	ガロア カウンタ モードの 256 ビットAES Linuxでのみ利用可能です。 Windows 上の MongoDB Enterprise では、保管時の暗号化のブロック暗号として AES256-GCM をサポートしなくなりました。この使用は、Linux でのみサポートされています。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--encryptionKeyFile <string>

KMIP 以外のプロセスで鍵を管理する場合のローカル鍵ファイルへのパスです。KMIP 以外のプロセスでキーを管理する場合にのみ設定します。データがすでに KMIP を使用して暗号化されている場合には、MongoDB はエラーをスローします。

キーファイルには1つのキーしか入れることができません。キーは 16 文字または 32 文字の文字列です。

--enableEncryptionが必要です。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipKeyIdentifier <string>

KMIPサーバー内の既存のキーに対する一意の KMIP 識別子です。この識別子を指定することで、識別子に関連付けられたキーをシステム キーとして使用できます。この設定は、 インスタンスの暗号化を初めて有効にするときにのみ使用できます。mongod が必要です。--enableEncryption

未指定の場合、MongoDB は KMIP サーバーにシステムキーとして使う新しいキーの作成を要求します。

KMIP サーバーが指定された識別子を持つ鍵を見つけられない場合、またはデータがすでに鍵で暗号化されている場合、MongoDB はエラーをスローします。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipRotateMasterKey <boolean>

デフォルト: false

true の場合、マスター キーをローテーションし、内部キーストアを再暗号化します。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

Tip

KMIP マスター キーのローテーション

--kmipServerName <string>

接続先の KMIPサーバーのホスト名またはIPアドレスです。--enableEncryption が必要です。

複数の KMIP サーバーをカンマ区切りのリスト（例: server1.example.com,server2.example.com ）として指定できます。 起動時に、 mongodはリストされている順序で各サーバーへの接続確立を試み、正常に接続を確立できた最初のサーバーを選択します。 KMIP サーバーが選択されるのは、起動時のみです。

KMIPサーバーに接続する際、mongod --kmipServerNameは指定されたSAN SANCNが、 KMIPサーバー。SAN mongodが存在する場合、CN は と一致しません。ホスト名がSAN （またはCN ）と一致しない場合、mongod は接続に失敗します。

MongoDB 4.2 以降、SAN の比較を行なう際に、MongoDB は DNS 名または IP アドレスの比較をサポートします。以前のバージョンでは、 MongoDB は DNS 名の比較のみをサポートしていました。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipPort <number>

デフォルト: 5696

KMIPサーバーとの通信に使用するポート番号です。--kmipServerName が必要です。--enableEncryption が必要です。

で複数の KMIP サーバーを指定する場合、--kmipServerName は、提供されているすべてのmongod --kmipPortKMIP サーバーに対して で指定されたポートを使用します。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipConnectRetries <number>

デフォルト: 0

KMIPサーバーに対する初期接続を再試行する回数です。--kmipConnectTimeoutMS mongodと併用することで、 が再試行を行うまでの待機時間を管理できます。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipConnectTimeoutMS <number>

デフォルト: 5000

KMIPサーバーの応答を待つ際のタイムアウト時間（ミリ秒）です。--kmipConnectRetries 設定が指定されている場合、mongod は各再試行の間に指定された時間だけ待機します。

値は 1000 以上である必要があります。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipClientCertificateSelector <string>

バージョン 5.0 の新機能:

の代替としてWindowsと macOS--kmipClientCertificateFile で利用できます。

--kmipClientCertificateFile--kmipClientCertificateSelectorオプションと オプションは相互に排他的です。指定できるのは 1 つだけです。

MongoDB が KMIP サーバーに認証するために、オペレーティング システムの証明書ストアから一致する証明書を選択するための証明書プロパティを指定します。

--kmipClientCertificateSelector<property>=<value>は 形式の引数を受け入れます。プロパティは次のいずれか 1 つになります。

プロパティ	値の型	説明
subject	ASCII 文字列	証明書のサブジェクト名またはコモンネーム
thumbprint	hex 文字列	SHA-1 ダイジェストによって公開キーを識別するために使用される、16進数で表現されるバイト シーケンス。 thumbprint は、fingerprint と呼ばれることもあります。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipClientCertificateFile <string>

KMIP サーバーに対して MongoDB を認証するために使用される .pem ファイルへのパスです。指定された .pem ファイルには、TLS/SSL 証明書とキーの両方が含まれている必要があります。

このオプションを使用するには、--kmipServerName オプションも指定する必要があります。

重要

Windows で KMIP サーバーを使用して暗号化を有効にすると、 --kmipClientCertificateFileと KMIP サーバーにより TLS 1.2が強制されます。

Windows で KMIP を使用して保管時の暗号化を有効にするには、次の条件を満たす必要があります。

• クライアント証明書を Windows 証明書ストアにインポートします。

• --kmipClientCertificateSelector構成オプションを使用します。

注意

macOS またはWindowsでは、 PEM キーファイルの代わりにオペレーティング システムのセキュア ストアからの証明書を使用できます。詳しくは、 を参照してください。--kmipClientCertificateSelector

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipClientCertificatePassword <string>

KMIPサーバーに接続するクライアント証明書の秘密キーを復号化するためのパスワードです。このオプションはMongoDB をKMIPサーバーに認証するため、 を指定する必要があります。--kmipClientCertificateFile

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。

--kmipServerCAFile <string>

CA ファイルへのパス。KMIP サーバーへの安全なクライアント接続を検証するために使用されます。

注意

macOS またはWindowsでは、 PEM キーファイルの代わりにオペレーティング システムのセキュア ストアからの証明書を使用できます。詳しくは、 を参照してください。セキュア--kmipClientCertificateSelector ストアを使用する場合は、--kmipServerCAFile を指定する必要はありませんが、指定することもできます。

--kmipActivateKeys <boolean>

デフォルト: true

バージョン5.3の新機能。

新しく作成された KMIP キーを作成時にすべてアクティブ化し、その後、当該キーがアクティブな状態であるかどうかを定期的にチェックします。

--kmipActivateKeystrueがmongod で、 KMIPサーバーに既存のキーがある場合、最初にキーをアクティブ化する必要があります。そうしないと、 ノードの起動に失敗します。

mongodによって使用されているキーが非アクティブ状態に移行すると、mongod kmipActivateKeysが false でない限り、 ノードはシャットダウンします。アクティブなキーがあることを確認するには、 を使用して KMIP マスター--kmipRotateMasterKey キーをローテーションします。

--kmipKeyStatePollingSeconds <integer>

デフォルト: 900 秒

バージョン5.3の新機能。

mongod が KMIP サーバーをポーリングしてアクティブなキーを検索する頻度（秒単位）です。

ポーリングを無効にするには、値を -1 に設定します。

--kmipUseLegacyProtocol <boolean>

デフォルト: false

7.0バージョン の新機能:（および6.0.6 ）

true の場合、mongod では、デフォルトのバージョンではなく、KMIP プロトコル バージョン 1.0 または 1.1 が使用されます。デフォルトの KMIP プロトコルはバージョン 1.2 です。

KMIP バージョン 1.0 または 1.1 で監査ログ暗号化を使用するには、スタートアップ時に auditEncryptKeyWithKMIPGet を指定する必要があります。

--eseDatabaseKeyRollover

AES256-GCM で暗号化された ストレージ エンジンのデータベース キーをロールオーバーします。

このオプションを使用して mongod インスタンスを起動すると、インスタンスはキーをローテーションして終了します。

注意

エンタープライズ機能

MongoDB Enterprise でのみ使用できます。