Conectar ao recurso Multi-Cluster de fora do Kubernetes

Implemente um conjunto de réplicas de cluster multi-Kubernetes.

Proteja o cluster multi-Kubernetes com TLS.

Forneça valores para:

• O segredoTLS em spec.security.certsSecretPrefix.

• O certificado CA personalizado em spec.security.tls.ca.

Crie um serviço externo para os Pods MongoDB.

Para se conectar à sua implantação de vários clusters Kubernetes a partir de um recurso externo, configure o spec.externalAccess configuração:

externalAccess: {}

Essa configuração instrui o Operador do Kubernetes a criar um LoadBalancer externo serviço para os Pods MongoDB em sua implantação de multikubernetes-cluster. O serviço externo fornece um ponto de entrada para conexões externas. Adicionar esta configuração sem valores cria um serviço externo com os seguintes valores-padrão:

Como opção, para adicionar valores ao serviço ou substituir os valores padrão, especifique:

• Anotações específicas para seu fornecedor de nuvem, em spec.externalAccess.externalService.annotations

• Substitui a especificação de serviço, em spec.externalAccess.externalService.spec.

Por exemplo, as configurações a seguir substituem os valores padrão do serviço externo para configurar seu sistema de vários clusters Kubernetes para criar serviços NodePort que expõem os Pods MongoDB:

externalAccess:
  externalService:
    annotations:
      # cloud-specific annotations for the service
    spec:
      type: NodePort # default is LoadBalancer
      port: 27017
      # you can specify other spec overrides if necessary

Opcional: configure um serviço externo para membros do cluster.

Se você precisar definir as configurações de um membro específico do cluster, como quando estiver hospedando membros em diferentes fornecedor de nuvem, poderá substituir a especificação global.externalAccess configurações para um membro específico usando o spec.clusterSpecList.externalAccess.externalService configuração.

Para adicionar valores ao serviço ou substituir os valores padrão para um membro do cluster, especifique:

• Anotações específicas para o cloud provider para o membro do cluster, em spec.clusterSpecList.externalAccess.externalService.annotations.

• Substitui específicos para o membro do cluster, em spec.clusterSpecList.externalAccess.externalService.spec.

Por exemplo, o arquivo a seguir configura seu sistema de cluster Kubernetes para criar serviços de balanceador que expõem o sistema de cluster Kubernetes para membros do cluster implantados no GKE (Google Kubernetes Engine). e Amazon Web Services EKS.

clusterSpecList:
  - clusterName: gke-cluster-0.mongokubernetes.com
    members: 2
    externalAccess:
      externalService:
        annotations:
          "cloud.google.com/l4-rbs": "enabled"
  - clusterName: eks-cluster-1.mongokubernetes.com
    members: 2
    externalAccess:
      externalService:
        annotations:
          "service.beta.kubernetes.io/aws-load-balancer-type": "external",
          "service.beta.kubernetes.io/aws-load-balancer-nlb-target-type": "instance",
          "service.beta.kubernetes.io/aws-load-balancer-scheme": "internet-facing"

Adicione nomes alternativos de assunto ao seu certificado TLS .

Adicione cada nome de DNS externo ao certificado SAN.

Verifique os serviços externos.

Em cada cluster, execute o seguinte comando para verificar se o Kubernetes Operator criou o serviço externo para sua implantação.

$ kubectl get services

O comando retorna uma lista de serviços semelhantes à seguinte saída. Para cada Pod de reconhecimento de data center no cluster, o Kubernetes cria um serviço externo chamado <pod-name>-<cluster-idx>-<pod-idx>-svc-external. Esse serviço é configurado de acordo com os valores e substituições que você fornece na especificação de serviço externo.

NAME                                  TYPE         CLUSTER-IP   EXTERNAL-IP       PORT(S)           AGE
<my-replica-set>-0-0-svc-external   LoadBalancer   10.102.27.116    <lb-ip-or-fqdn>   27017:27017/TCP    8m30s

Dependendo da configuração do cluster ou do fornecedor de serviços em nuvem, o endereço IP do serviço LoadBalancer é um endereço IP ou FQDN externamente acessível. Você pode usar o endereço IP ou FQDN para rotear o tráfego do seu domínio externo.

Atualize seu arquivo YAML do recurso do conjunto de réplicas.

Configure os nomes de host e portas no spec.connectivity.replicaSetHorizons para os valores de serviço externo que você criou na etapa anterior.

Confirme se você especificou os nomes de host externos corretos. Os nomes de host externos devem corresponder aos nomes DNS dos nós de trabalho do Kubernetes. Eles podem ser quaisquer nós no cluster Kubernetes. Se o Pod for executado em outro nó, os nós do Kubernetes usarão roteamento interno.

apiVersion: mongodb.com/v1
 kind: MongoDBMultiCluster
 metadata:
  name: multi-cluster-replica-set
  namespace: mongodb
 spec:
  clusterSpecList:
   - clusterName: e2e.cluster1.example.com
     members: 1
   - clusterName: e2e.cluster2.example.com
     members: 1
   - clusterName: e2e.cluster3.example.com
     members: 1
  connectivity:
   replicaSetHorizons:
   - sample-horizon: web1.example.com:30907
   - sample-horizon: web2.example.com:30907
   - sample-horizon: web3.example.com:30907
  credentials: my-credentials
  duplicateServiceObjects: false
  opsManager:
   configMapRef:
    name: my-project
  persistent: true
  security:
   certsSecretPrefix: clustercert
   tls:
     ca: ca-issuer
  type: ReplicaSet
  version: 4.4.0-ent"

Aplique o arquivo do conjunto de réplicas atualizado.

Em cada cluster, execute este comando para aplicar o arquivo de conjunto de réplicas atualizado:

$ Kubectl apply -f <file_name.yaml>

Teste a conexão com o conjunto de réplicas.

No ambiente de desenvolvimento, para cada host em um conjunto de réplicas, execute o seguinte comando:

mongosh --host <my-replica-set>/web1.example.com \
      --port 30907
      --ssl \
      --sslAllowInvalidCertificates

Na produção, para cada host em um conjunto de réplicas, especifique o certificado TLS e o CA para se conectar com segurança às ferramentas ou aplicativos do cliente:

mongosh --host <my-replica-set>/web1.example.com \
  --port 30907 \
  --tls \
  --tlsCertificateKeyFile server.pem \
  --tlsCAFile ca-pem

Se a conexão for bem-sucedida, você deverá ver:

Enterprise <my-replica-set> [primary]