Valores de configuração externa para MongoDB autogerenciado

Use a diretiva de expansão __rest

A diretiva de expansão __rest carrega valores do arquivo de configuração de um ponto de extremidade REST. __rest suporta o carregamento de valores específicos no arquivo de configuração ou o carregamento de todo o arquivo de configuração.

storage:  dbPath: "/var/lib/mongo"systemLog:  destination: file  path: "/var/log/mongodb/mongod.log"net:  bindIp: 192.51.100.24,127.0.0.1  tls:    mode: requireTLS    certificateKeyFile: "/etc/tls/mongod.pem"    certificateKeyFilePassword:      __rest: "https://myrestserver.example.net/api/config/myCertKeyFilePassword"      type: "string"

__rest: "https://myrestserver.example.net/api/config/fullConfig"type: "yaml"

Use a diretiva de expansão __exec

A diretiva de expansão __exec carrega os valores do arquivo de configuração a partir de um comando shell ou terminal. __exec suporta o carregamento de valores específicos no arquivo de configuração ou o carregamento de todo o arquivo de configuração.

storage:  dbPath: "/var/lib/mongo"systemLog:  destination: file  path: "/var/log/mongodb/mongod.log"net:  bindIp: 192.51.100.24,127.0.0.1  tls:    mode: requireTLS    certificateKeyFile: "/etc/tls/mongod.pem"    certificateKeyFilePassword:      __exec: "python /home/myUserName/getPEMPassword.py"      type: "string"

__exec: "python /home/myUserName/getFullConfig.py"type: "yaml"

Referência de diretivas de expansão

__rest

A diretiva de expansão __rest carrega valores do arquivo de configuração de um ponto de extremidade REST. __rest suporta o carregamento de valores específicos no arquivo de configuração ou o carregamento de todo o arquivo de configuração. O mongod/mongos então começa a usar os valores de origem externa como parte da sua configuração.

A diretiva de expansão __rest tem a seguinte sintaxe:

• Passo a passo de como especificar um endpoint REST para uma configuração específica ou para configurações específicas no arquivo de configuração:

  <some configuration file setting>:  __rest: "<string>"  type: "string"  trim: "none|whitespace"  digest: "<string>"  digest_key: "<string>"

• Para especificar um ponto de extremidade REST para todo o arquivo de configuração:

  __rest: "<string>"type: "yaml"trim: "none|whitespace"

  Se especificar todo o arquivo de configuração por meio do endpoint REST, a diretiva de expansão e suas opções devem ser os únicos valores especificados no arquivo de configuração.

__rest usa os seguintes campos:

Campo	Tipo	Descrição
__rest	string	Obrigatório A URL na qual o mongod/mongos emite uma solicitação GET para recuperar o valor de origem externa. Para endpoints REST não localhosts (por exemplo, um endpoint REST hospedado em um servidor), __rest requer URLs criptografadas (https://) em que a máquina host e o servidor suportem TLS 1.1 ou posterior. Se o ponto de extremidade REST especificado na URL exigir autenticação, codifique as credenciais na URL com o padrão no formato RFC 3986 Informações do usuário . Para endpoints REST de host local (por exemplo, um endpoint REST ouvindo na máquina host), __rest possibilita URLs não criptografados (http://). IMPORTANTE: o valor retornado pelo REST endpoint especificado não pode incluir nenhuma diretiva de expansão adicional. O mongod/mongos não executa processamento adicional nos dados retornados e será encerrado com um código de erro se os dados retornados incluírem diretivas de expansão adicionais.
type	string	Opcional Controla como __rest analisa o valor retornado a partir da URL especificada. Os valores possíveis são: string (Padrão) Direciona __rest para analisar os dados retornados como uma string literal. Se especificar string, todo o bloco de__rest e as opções de suporte devem ser aninhadas sob o campo para o qual você estiver carregando valores de origem externa. yaml Orienta __rest a analisar os dados retornados como um arquivo em formato yaml. Se especificar yaml, o bloco __rest deverá ser o único conteúdo no arquivo de configuração. O mongod/mongos substitui o conteúdo do arquivo de configuração pelo yaml recuperado do recurso REST.
trim	string	Opcional Especifique whitespace para instruir __rest a cortar qualquer espaço em branco à esquerda ou à direita, especificamente as ocorrências de " ", "\r", "\n", "\t", "\v" e "\f". O padrão é none ou nenhum corte.
digerir	string	opcional. A saída HMAC-SHA256 do resultado da expansão, calculada como HMAC-SHA256(digest_key, message), onde message é o valor da configuração a ser recuperada. Se especificado, você também deve especificar o digest_key.
digest_key	string	opcional. A representação de string hexadecimal de 64caracteres da chave de 32bytes usada para calcular o resumo HMAC-SHA256 do resultado da expansão. Se especificado, você também deve especificar o resumo. Por exemplo, suponha que o certificateKeyFilePassword seja "superSecret123". Para recuperar essa senha usando uma solicitação REST ou chamada de serviço exec, você deve gerar uma chave de resumo e usá-la para calcular o resumo de sua senha. Execute o seguinte código em seu terminal para gerar uma chave de resumo de 32bytes: openssl rand -hex 32 VISUALIZAR SAÍDA Depois de gerar uma chave de resumo, você pode usá-la para calcular o resumo de sua senha: echo -ne "superSecret123" | openssl dgst -sha256 -mac hmac -macopt hexkey:f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 VISUALIZAR SAÍDA

Observação

• Se o arquivo de configuração incluir a expansão __rest, no Linux ou macOS, o acesso de leitura ao arquivo de configuração deverá ser limitado ao usuário que estiver executando o processo mongod ou mongos apenas.

• Para ativar a análise da diretiva de expansão __rest, inicie o mongod/mongos com a opção --configExpand "rest".

Para obter exemplos, consulte Usar a diretiva de expansão __rest .

__exec

A diretiva de expansão __exec carrega valores do arquivo de configuração a partir da saída de um comando shell ou terminal. __exec suporta o carregamento de valores específicos no arquivo de configuração ou o carregamento de todo o arquivo de configuração. O mongod/mongos então começa a usar os valores de origem externa como parte da sua configuração.

A diretiva de expansão __exec tem a seguinte sintaxe:

• Para especificar um comando de terminal ou shell para uma configuração ou configurações específicas do arquivo de configuração:

  <some configuration file setting>:  __exec: "<string>"  type: "string"  trim: "none|whitespace"

• Para especificar um comando shell ou terminal para todo o arquivo de configuração:

  __exec: "<string>"type: "yaml"trim: "none|whitespace"

  Se especificar todo o arquivo de configuração por meio de um comando de terminal ou shell, a diretiva de expansão e suas opções devem ser os únicos valores especificados no arquivo de configuração.

__exec usa os seguintes campos:

Campo	Tipo	Descrição
__exec	string	Obrigatório A string que mongod/mongos executa no terminal ou shell para recuperar o valor de origem externa. Em hosts Linux e OSX, a execução é tratada via POSIX popen(). Em hosts Windows, a execução é feita por meio da API de controle de processo. __exec abre um pipeline somente leitura como o mesmo usuário que iniciou o mongod ou mongos. IMPORTANTE: os dados retornados pela execução do comando especificado não podem incluir nenhuma diretiva de expansão adicional. O mongod/mongos não executa processamento adicional nos dados retornados e será encerrado com um código de erro se os dados retornados incluírem diretivas de expansão adicionais.
type	string	Opcional Controla como __exec analisa o valor retornado pelo comando executado. Os valores possíveis são: string (Padrão) Direciona __exec para analisar os dados retornados como uma string literal. Se especificar string, todo o bloco de__exec e as opções de suporte devem ser aninhadas sob o campo para o qual você estiver carregando valores de origem externa. yaml Orienta __exec a analisar os dados retornados como um arquivo formatado yaml. Se especificar yaml, o bloco __exec deverá ser o único conteúdo no arquivo de configuração. O mongod/ substitui o conteúdo do arquivo de configuraçãomongos pelo yaml recuperado do comando executado.
trim	string	Opcional Especifique whitespace para instruir __exec a cortar qualquer espaço em branco à esquerda ou à direita, especificamente as ocorrências de " ", "\r", "\n", "\t", "\v" e "\f". O padrão é none ou nenhum corte.
digerir	string	opcional. A saída HMAC-SHA256 do resultado da expansão, calculada como HMAC-SHA256(digest_key, message), onde message é o valor da configuração a ser recuperada. Se especificado, você também deve especificar o digest_key.
digest_key	string	opcional. A representação de string hexadecimal de 64caracteres da chave de 32bytes usada para calcular o resumo HMAC-SHA256 do resultado da expansão. Se especificado, você também deve especificar o digest Por exemplo, suponha que o certificateKeyFilePassword seja "superSecret123". Para recuperar essa senha usando uma solicitação REST ou chamada de serviço exec, você deve gerar uma chave de resumo e usá-la para calcular o resumo de sua senha. Execute o seguinte código em seu terminal para gerar uma chave de resumo de 32bytes: openssl rand -hex 32 VISUALIZAR SAÍDA Depois de gerar uma chave de resumo, você pode usá-la para calcular o resumo de sua senha: echo -ne "superSecret123" | openssl dgst -sha256 -mac hmac -macopt hexkey:f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 VISUALIZAR SAÍDA

Observação

• Se o arquivo de configuração incluir a expansão __exec, no Linux ou macOS, o acesso de gravação ao arquivo de configuração deverá ser limitado ao usuário que estiver executando o processo mongod ou mongos apenas.

• Para ativar a análise das diretivas de expansão __exec, inicie mongod/mongos com a opção --configExpand "exec".

Para obter exemplos, consulte Usar a diretiva de expansão __exec .

Enviar o arquivo de configuração com valores de diretiva de expansão resolvidos

É possível testar a saída final de um arquivo de configuração que especifica uma ou mais diretivas de expansão iniciando o mongod/mongos com a opção --outputConfig. Quando iniciado com --outputConfig, um mongod/mongos gera o documento de configuração YAML resolvido para stdout e interrompe. Se alguma diretiva de expansão especificada no arquivo de configuração retornar diretivas de expansão adicionais, o mongod/mongos gerará um erro e será encerrado.

Por exemplo, o seguinte arquivo de configuração mongod.conf contém uma diretiva de expansão __rest:

storage:  dbPath: "/var/lib/mongo"systemLog:  destination: file  path: "/var/log/mongodb/mongod.log"net:  port:    __rest: "https://mongoconf.example.net:8080/record/1"    type: string

A string registrada na URL especificada é 20128

Se o arquivo de configuração incluir a expansão __rest, no Linux ou macOS, o acesso de leitura ao arquivo de configuração deverá ser limitado ao usuário que estiver executando o processo mongod ou mongos apenas.

Inicie o mongod com as opções --configExpand "rest" e --outputConfig:

mongod -f mongod.conf --configExpand rest --outputConfig

O mongod gera o seguinte para stdout antes de terminar:

config: mongod.confstorage:  dbPath: "/var/lib/mongo"systemLog:  destination: file  path: "/var/log/mongodb/mongod.log"net:  port: 20128outputConfig: true