mongod Instâncias

Opções principais

--auth

Permite a autorização para controlar o acesso do usuário aos recursos e operações do banco de dados. Quando a autorização está habilitada, o MongoDB exige que todos os clientes se autentiquem antes de determinar seu acesso.

To configure users, use the mongosh client. If no users exist, the localhost interface has access to the database until you create the first user.

Consulte Segurança para obter mais informações.

--bind_ip <hostnames|ipaddresses|Unix domain socket paths>

Padrão: localhost

Os nomes de host, endereços IP e caminhos completos de soquete de domínio Unix nos quais mongod escuta as conexões do cliente. Você pode anexar mongod a qualquer interface. Para vincular a vários endereços, insira uma lista de valores separados por vírgula.

Exemplo: localhost,/tmp/mongod.sock

Você pode especificar endereços IPv4 e IPv6 ou nomes de host que resolvem para um endereço IPv4 ou IPv6.

Exemplo: localhost, 2001:0DB8:e132:ba26:0d5c:2774:e7f9:d513

Observação

If specifying an IPv6 address or a hostname that resolves to an IPv6 address to --bind_ip, you must start mongod with --ipv6 to enable IPv6 support. Specifying an IPv6 address to --bind_ip does not enable IPv6 support.

Se especificar um endereço IPv6 local de link (fe80::/10), você deverá acrescentar o índice da zona para esse endereço (ou seja, fe80::<address>%<adapter-name>).

Exemplo: localhost,fe80::a00:27ff:fee0:1fcf%enp0s3

Importante

Para evitar atualizações de configuração devido a alterações de endereço IP, use nomes de host DNS em vez de endereços IP. É particularmente importante usar um nome de host DNS em vez de um endereço IP ao configurar membros de conjunto de réplicas ou membros de cluster fragmentado.

Use nomes de host em vez de endereços IP para configurar cluster em um horizonte de rede dividido. Começando no MongoDB 5.0, nós configurados apenas com um endereço IP falham na validação de inicialização e não são iniciados.

Aviso

Antes de vincular sua instância a um endereço IP acessível publicamente, você deve proteger seu cluster contra o acesso não autorizado. Para obter uma lista completa de recomendações de segurança, consulte Lista de verificação de segurança para implantações autogerenciadas. No mínimo, considere habilitar a autenticação e fortalecer a infraestrutura de rede.

Para obter mais informações sobre vinculação de IP, consulte a documentação de vinculação de IP em implantações autogerenciadas.

Para vincular a todos os endereços IPv4, digite 0.0.0.0.

Para se vincular a todos os endereços IPv4 e IPv6, digite ::,0.0.0.0 ou um asterisco "*" (coloque o asterisco entre aspas para evitar a expansão do padrão de nome de arquivo). Como alternativa, use a configuração net.bindIpAll.

Observação

• --bind_ip e --bind_ip_all são mutuamente exclusivos. Especificar as duas opções faz com que mongod gere um erro e encerre.

• A opção de linha de comando --bind substitui a definição do arquivo de configuração net.bindIp.

--bind_ip_all

If specified, the mongod instance binds to all IPv4 addresses (i.e. 0.0.0.0). If mongod starts with --ipv6, --bind_ip_all also binds to all IPv6 addresses (i.e. ::).

mongod only supports IPv6 if started with --ipv6. Specifying --bind_ip_all alone does not enable IPv6 support.

Aviso

Antes de vincular sua instância a um endereço IP acessível publicamente, você deve proteger seu cluster contra o acesso não autorizado. Para obter uma lista completa de recomendações de segurança, consulte Lista de verificação de segurança para implantações autogerenciadas. No mínimo, considere habilitar a autenticação e fortalecer a infraestrutura de rede.

Para obter mais informações sobre vinculação de IP, consulte a documentação de vinculação de IP em implantações autogerenciadas.

Como alternativa, você pode definir a opção --bind_ip como ::,0.0.0.0 ou como asterisco "*" (coloque o asterisco entre aspas para evitar a expansão do padrão de nome de arquivo).

Observação

--bind_ip e --bind_ip_all são mutuamente exclusivos. Ou seja, você pode especificar um ou outro, mas não ambos.

--clusterIpSourceAllowlist <string>

Novidade na versão 5.0.

Uma lista de endereços IP/CIDR (Roteamento entre Domínios sem Classe) varia em relação aos quais o mongod valida solicitações de autenticação de outros nós do conjunto de réplicas e, se parte de um cluster fragmentado, as instâncias de mongos. O mongod verifica se o IP de origem está explicitamente na lista ou pertence a uma faixa CIDR na lista. Se o endereço IP não estiver presente, o servidor não autenticará o mongod ou mongos.

--clusterIpSourceAllowlist has no effect on a mongod started without authentication.

--clusterIpSourceAllowlist aceita vários endereços IPv separados por vírgula4/6 ou faixas de roteamento entre domínios semclasse(CIDR):

mongod --clusterIpSourceAllowlist 192.0.2.0/24,127.0.0.1,::1

Importante

Ensure --clusterIpSourceAllowlist includes the IP address or CIDR ranges that include the IP address of each replica set member or mongos in the deployment to ensure healthy communication between cluster components.

--config <filename>, -f <filename>

Especifica um arquivo de configuração para opções de configuração do tempo de execução. O arquivo de configuração é o método preferido para a configuração de tempo de execução do mongod. As opções são equivalentes às opções de configuração da linha de comando. Consulte Opções de arquivo de configuração autogerenciadas para obter mais informações.

Certifique-se de que o arquivo de configuração use codificação ASCII. A instância mongod não suporta arquivos de configuração com codificação não ASCII, incluindo UTF-8.

--configExpand <none|rest|exec>

Padrão: nenhum

Habilita o uso de diretivas de expansão em arquivos de configuração. As diretivas de expansão permitem que você defina valores de origem externa para opções de arquivo de configuração.

--configExpand suporta as seguintes diretivas de expansão:

Valor	Descrição
none	Padrão. mongod não expande diretivas de expansão. mongod falha ao iniciar se alguma configuração do arquivo de configuração usar diretivas de expansão.
rest	mongod expande as diretivas de expansão __rest ao analisar o arquivo de configuração.
exec	mongod expande as diretivas de expansão __exec ao analisar o arquivo de configuração.

You can specify multiple expansion directives as a comma-separated list, for example: rest, exec. If the configuration file contains expansion directives not specified to --configExpand, the mongod returns an error and terminates.

Consulte Valores de configuração externa para MongoDB autogerenciado para arquivos de configuração para obter mais informações sobre diretivas de expansão.

--filePermissions <path>

Padrão: 0700

Define a permissão para o arquivo de soquete de domínio UNIX.

--filePermissions aplica-se apenas a sistemas baseados em Unix.

--fork

Enables a daemon mode that runs the mongod process in the background. The --fork option is not supported on Windows.

By default mongod does not run as a daemon. You run mongod as a daemon by using either --fork or a controlling process that handles daemonization, such as upstart or systemd.

To use --fork, configure log output for the mongod with one of the following:

• --logpath

• --syslog

--help, -h

Retorna informações sobre as opções e uso de mongod.

--ipv6

Habilita o suporte a IPv6. mongod desabilita o suporte a IPv6 por padrão.

Setting --ipv6 does not direct the mongod to listen on any local IPv6 addresses or interfaces. To configure the mongod to listen on an IPv6 interface, you must either:

• Configure --bind_ip with one or more IPv6 addresses or hostnames that resolve to IPv6 addresses, or

• Set --bind_ip_all to true.

--keyFile <file>

Specifies the path to a key file that stores the shared secret that MongoDB instances use to authenticate to each other in a sharded cluster or replica set. --keyFile implies --auth. See Self-Managed Internal/Membership Authentication for more information.

Os arquivos de chaves para autenticação de associação interna usam o formato YAML para permitir várias chaves em um só arquivo. O formato YAML aceita:

• Uma única string de chave (igual às versões anteriores)

• Uma sequência de strings de chave

O formato YAML é compatível com os arquivos-chave de chave única existentes que usam o formato de arquivo de texto.

--listenBacklog <number>

Padrão: constante do sistema de destino SOMAXCONN

O número máximo de conexões que podem existir na fila de escuta .

Aviso

Consulte a documentação do seu sistema local para entender as limitações e os requisitos de configuração antes de usar este parâmetro.

Importante

Para evitar um comportamento indefinido, especifique um valor para esse parâmetro entre 1 e a constanteSOMAXCONN do sistema local.

O valor padrão para o parâmetro listenBacklog depende do sistema de destino. No Linux, o MongoDB utiliza /proc/sys/net/core/somaxconn. Em todos os outros sistemas de destino, o MongoDB utiliza a constante de tempo de compilação SOMAXCONN.

Alguns sistemas podem interpretar SOMAXCONN simbolicamente; outros, numericamente. O backlog de escuta real aplicado na prática pode diferir de qualquer interpretação numérica da constante SOMAXCONN ou do argumento para --listenBacklog.

Passar um valor para o parâmetro listenBacklog que excede a constante SOMAXCONN para o sistema local é, de acordo com os padrões, comportamento indefinido. Valores mais altos podem ser silenciosamente truncados, podem ser ignorados, podem causar consumo inesperado de recursos ou ter outras consequências adversas.

--logappend

Acrescenta novas entradas ao final do arquivo de log existente quando a instância mongod é reiniciada. Sem esta opção, mongod faz backup do registro existente e cria um novo arquivo.

--logpath <path>

Envia todas as informações de registro de diagnóstico para um arquivo de log em vez de para o resultado padrão ou para o sistema syslog do host. O MongoDB cria o arquivo de log no caminho especificado.

By default, MongoDB moves any existing log file rather than overwriting it. To instead append to the log file, set the --logappend option.

--logRotate <string>

Padrão: renomear

Determina o comportamento do comando logRotate ao girar o log do servidor e/ou o log de auditoria. Especifique rename ou reopen:

• rename renomeia o arquivo de log.

• reopen fecha e reabre o arquivo de log seguindo o comportamento típico de rotação de registro Linux/Unix. Utilize o reopen ao usar o utilitário de rotação de registro Linux/Unix para evitar perda de registro.

  If you specify reopen, you must also use --logappend.

--maxConns <number>

O número máximo de conexões simultâneas que mongod aceita. Esta configuração não terá efeito se for maior do que o limite máximo de rastreamento de conexão configurado pelo sistema operacional.

Não atribua um valor muito baixo a esta opção para não encontrar erros durante a operação normal do aplicativo.

--networkMessageCompressors <string>

Default: snappy,zstd,zlib

Especifica o(s) compressor(es) padrão(s) a ser(em) usado(s) para comunicação entre esta instância mongod e:

• outros membros do sistema se a instância fizer parte de um conjunto de réplicas ou de um cluster fragmentado

• mongosh

• drivers que suportam o formato de mensagem OP_COMPRESSED .

MongoDB é compatível com os seguintes compactadores:

• snappy

• zlib

• zstd

Observação

Ambas as instâncias do mongod e mongos padrão para compressores do snappy,zstd,zlib, nessa ordem.

Para desativar a compactação de rede, defina o valor como disabled.

Importante

As mensagens são compactadas quando ambas as partes habilitam a compactação de rede. Caso contrário, as mensagens entre as partes serão descompactadas.

If you specify multiple compressors, then the order in which you list the compressors matter as well as the communication initiator. For example, if mongosh specifies the following network compressors zlib,snappy and the mongod specifies snappy,zlib, messages between mongosh and mongod uses zlib.

Se as partes não compartilharem pelo menos um compressor comum, as mensagens entre as partes serão descompactadas. Por exemplo, se mongosh especificar o compressor de rede zlib e mongod especificar snappy, as mensagens entre mongosh e mongod não serão compactadas.

--noauth

Desabilita a autenticação. Atualmente o padrão. Existe para futura compatibilidade e clareza.

--noscripting

Desabilita o mecanismo de script.

--notablescan

Proíbe operações que exijam uma verificação de collection. Consulte notablescan para obter informações adicionais.

--nounixsocket

Disables listening on the UNIX domain socket. --nounixsocket applies only to Unix-based systems.

O processo mongod sempre escuta no soquete UNIX, a menos que uma das seguintes opções seja verdadeira:

• --nounixsocket está definido

• net.bindIp não está definido

• net.bindIp não especifica localhost ou seu endereço IP associado

mongod instalado a partir dos pacotes oficiais Debian e Red Hat ou CentOS têm a configuração bind_ip definida como 127.0.0.1 por padrão.

--outputConfig

Outputs the mongod instance's configuration options, formatted in YAML, to stdout and exits the mongod instance. For configuration options that uses External Configuration Values for Self-Managed MongoDB, --outputConfig returns the resolved value for those options.

Aviso

Isso pode incluir quaisquer senhas ou segredos configurados anteriormente pela fonte externa.

Para exemplos de uso, consulte:

• Enviar o arquivo de configuração com valores de diretiva de expansão resolvidos

• Converter opções de linha de comando autogerenciadas em YAML

--pidfilepath <path>

Specifies a file location to store the process ID (PID) of the mongod process. The user running the mongod or mongos process must be able to write to this path. If the --pidfilepath option is not specified, the process does not create a PID file. Use this option mainly with the --fork option.

Observação

Linux

On Linux, PID file management is generally the responsibility of your distro's init system: usually a service file in the /etc/init.d directory, or a systemd unit file registered with systemctl. Only use the --pidfilepath option if you are not using one of these init systems. For more information, please see the respective Installation Guide for your operating system.

Observação

macOS

On macOS, PID file management is generally handled by brew. Only use the --pidfilepath option if you are not using brew on your macOS system. For more information, please see the respective Installation Guide for your operating system.

--port <port>

Padrão:

• 27017, se mongod não for um membro de shard ou um membro do servidor de configuração

• 27018 if mongod is a shard member

• 27019 if mongod is a config server member

A porta TCP na qual a instância do MongoDB escuta conexão de cliente.

A opção --port aceita um intervalo de valores entre 0 e 65535. A definição da porta como 0 configura mongod para usar uma porta arbitrária atribuída pelo sistema operacional.

--quiet

Executa mongod em um modo silencioso que limita o resultado.

Esta opção suprime:

• resultado de comandos do banco de dados

• atividade de replicação

• eventos aceitos de conexão

• eventos fechados de conexão

• client metadata

--redactClientLogData

Disponível apenas no MongoDB Enterprise.

A mongod running with --redactClientLogData redacts any message accompanying a given log event before logging. This prevents the mongod from writing potentially sensitive data stored on the database to the diagnostic log. Metadata such as error or operation codes, line numbers, and source file names are still visible in the logs.

Use --redactClientLogData in conjunction with Encryption at Rest and TLS/SSL (Transport Encryption) to assist compliance with regulatory requirements.

For example, a MongoDB deployment might store Personally Identifiable Information (PII) in one or more collections. The mongod instance logs events such as CRUD operations and sharding metadata, and might expose PII as part of these logging operations. A mongod running with --redactClientLogData removes any message accompanying these events before writing them to the log, which removes the PII.

Diagnostics on a mongod running with --redactClientLogData may be more difficult due to the lack of data related to a log event. See the process logging manual page for an example of the effect of --redactClientLogData on log output.

Em um mongod em execução, utilize setParameter com o parâmetro redactClientLogData para definir esta configuração.

--setParameter <options>

Especifica um dos parâmetros MongoDB descritos em Parâmetros do MongoDB Server para uma implementação autogerenciada. Você pode especificar múltiplos campos setParameter .

--shutdown

The --shutdown option cleanly and safely terminates the mongod process. When invoking mongod with this option you must set the --dbpath option either directly or by way of the configuration file and the --config option.

The --shutdown option is available only on Linux systems.

Para conhecer outras maneiras de encerrar, consulte também Interromper processos mongod.

--sysinfo

Retorna informações do sistema de diagnóstico e sai. As informações fornecem o tamanho da página, o número de páginas físicas e o número de páginas físicas disponíveis.

--syslog

Sends all logging output to the host's syslog system rather than to standard output or to a log file (--logpath).

The --syslog option is not supported on Windows.

Aviso

The syslog daemon generates timestamps when it logs a message, not when MongoDB issues the message. This can lead to misleading timestamps for log entries, especially when the system is under heavy load. We recommend using the --logpath option for production systems to ensure accurate timestamps.

O MongoDB inclui o componente em suas mensagens de log para syslog.

...  ACCESS   [repl writer worker 5] Unsupported modification to roles collection ...

--syslogFacility <string>

Usuário padrão

Specifies the facility level used when logging messages to syslog. The value you specify must be supported by your operating system's implementation of syslog. To use this option, you must enable the --syslog option.

--timeStampFormat <string>

Default: iso8601-local

O formato de hora para carimbos de data/hora em mensagens de registro. Especifique um dos valores a seguir:

Valor	Descrição
iso8601-utc	Exibe carimbos de data/hora em Tempo Universal Coordenado (UTC) no formato ISO-8601. Por exemplo, para Nova Iorque no início da Época: 1970-01-01T00:00:00.000Z
iso8601-local	Exibe carimbos de data e hora na hora local no formato ISO-8601. Por exemplo, para Nova Iorque no início da Época: 1969-12-31T19:00:00.000-05:00

Observação

O formato de carimbo de data/hora ctime não é mais aceito. Um exemplo de data formatada ctime é: Wed Dec 31 18:17:54.811.

--timeZoneInfo <path>

O caminho completo a partir do qual carregar o banco de dados de fuso horário. Se esta opção não for fornecida, o MongoDB usará seu banco de dados de fuso horário integrado.

O arquivo de configuração incluído com pacotes Linux e macOS define o caminho do banco de dados de fuso horário para /usr/share/zoneinfo por padrão.

O banco de dados de fuso horário embutido é uma cópia do banco de dados de fuso horário Olson/IANA. Ele é atualizado junto com as versões do MongoDB, mas o ciclo de lançamento da zona de fuso horário é diferente do ciclo de lançamento do MongoDB. A versão mais recente do banco de dados de fuso horário está disponível em nosso site de download.

wget https://downloads.mongodb.org/olson_tz_db/timezonedb-latest.zip
unzip timezonedb-latest.zip
mongod --timeZoneInfo timezonedb-2017b/

Aviso

O MongoDB usa a biblioteca timelib de terceiros para fornecer conversões precisas entre fusos horários. Devido a uma atualização recente, o timelib pode criar conversões de zona horário imprecisas em versões mais antigas do MongoDB.

Para vincular explicitamente ao banco de dados de fuso horário em versões do MongoDB anteriores à 5.0, baixe o banco de dados de fusos horários. e utilize o parâmetro timeZoneInfo.

Dica

processManagement.timeZoneInfo.

--traceExceptions

Somente para uso em diagnóstico interno.

--transitionToAuth

Allows the mongod to accept and create authenticated and non-authenticated connections to and from other mongod and mongos instances in the deployment. Used for performing rolling transition of replica sets or sharded clusters from a no-auth configuration to internal authentication. Requires specifying a internal authentication mechanism such as --keyFile.

Por exemplo, se utilizar keyfiles para autenticação interna, mongod criaria uma conexão autenticada com qualquer mongod ou mongos na implantação utilizando um arquivo de chave correspondente. Se os mecanismos de segurança não corresponderem, o mongod utilizará uma conexão não autenticada.

A mongod running with --transitionToAuth does not enforce user access controls. Users may connect to your deployment without any access control checks and perform read, write, and administrative operations.

Observação

A mongod running with internal authentication and without --transitionToAuth requires clients to connect using user access controls. Update clients to connect to the mongod using the appropriate user prior to restarting mongod without --transitionToAuth.

--unixSocketPrefix <path>

Padrão: /tmp

The path for the UNIX socket. --unixSocketPrefix applies only to Unix-based systems.

Se esta opção não tiver nenhum valor, o processo mongod cria um soquete com /tmp como prefixo. O MongoDB cria e escuta em um soquete UNIX, a menos que um dos seguintes seja verdadeiro:

• net.unixDomainSocket.enabled é false

• --nounixsocket está definido

• net.bindIp não está definido

• net.bindIp não especifica localhost ou seu endereço IP associado

--verbose, -v

Aumenta a quantidade de relatórios internos retornados no resultado padrão ou em arquivos de log. Aumente a verbosidade com o formato -v incluindo a opção várias vezes, por exemplo: -vvvvv.

Observação

A partir da versão 4.2, o MongoDB inclui o nível de verbosidade de depuração (1-5) nas mensagens de registro. Por exemplo, se o nível de verbosidade for 2, o MongoDB registrará D2. Em versões anteriores, as mensagens de registro do MongoDB especificavam somente D para o nível de depuração.

--version

Retorna o número de versão mongod.

Opções de autenticação ou autorização LDAP

--ldapServers <host1>:<port>,<host2>:<port>,...,<hostN>:<port>

Disponível apenas no MongoDB Enterprise.

O servidor LDAP no qual o mongod autentica os usuários ou determina quais ações um usuário está autorizado a executar em um determinado banco de dados. Se o servidor LDAP especificado tiver quaisquer instâncias replicadas, você poderá especificar o host e a porta de cada servidor replicado em uma lista delimitada por vírgula.

Se sua infraestrutura LDAP dividir o diretório LDAP em vários servidores LDAP, especifique um servidor LDAP ou qualquer uma de suas instâncias replicadas para --ldapServers. O MongoDB suporta as seguintes referências LDAP, conforme definido em RFC 4511 4.1.10. Não utilize o --ldapServers para listar todos os servidor LDAP em sua infraestrutura.

Esta configuração pode ser configurada em um mongod executando utilizando setParameter.

Se não for definido, mongod não poderá usar autenticação ou autorização LDAP.

--ldapValidateLDAPServerConfig <boolean>

Disponível no MongoDB Enterprise

A flag that determines if the mongod instance checks the availability of the LDAP server(s) as part of its startup:

• Se o true, a instância do mongod executará a verificação de disponibilidade e somente continuará a iniciar se o servidor LDAP estiver disponível.

• Se false, a instância mongod ignora a verificação de disponibilidade; ou seja, a instância é iniciada mesmo se o servidor LDAP não estiver disponível.

--ldapQueryUser <string>

Disponível apenas no MongoDB Enterprise.

A identidade com a qual o mongod se liga, ao conectar ou executar queries em um servidor LDAP.

Obrigatório apenas se alguma das seguintes afirmações for verdadeira:

• Utilizando autorização LDAP.

• Using an LDAP query for username transformation.

• O servidor LDAP não permite ligações anônimas

You must use --ldapQueryUser with --ldapQueryPassword.

Se não for definido, mongod não tentará vincular-se ao servidor LDAP.

Esta configuração pode ser configurada em um mongod executando utilizando setParameter.

Observação

Windows MongoDB deployments can use --ldapBindWithOSDefaults instead of --ldapQueryUser and --ldapQueryPassword. You cannot specify both --ldapQueryUser and --ldapBindWithOSDefaults at the same time.

--ldapQueryPassword <string | array>

Disponível apenas no MongoDB Enterprise.

The password used to bind to an LDAP server when using --ldapQueryUser. You must use --ldapQueryPassword with --ldapQueryUser.

If not set, mongod does not attempt to bind to the LDAP server.

You can configure this setting on a running mongod using setParameter.

O comando ldapQueryPassword setParameter aceita uma string ou um array de strings. Se ldapQueryPassword for definido como um array, o MongoDB tentará cada senha na ordem até que uma delas seja bem-sucedida. Use um array de senha para passar a senha da conta LDAP sem tempo de inatividade.

--ldapBindWithOSDefaults <bool>

Padrão: false

Disponível no MongoDB Enterprise apenas para a plataforma Windows.

Permite ao mongod autenticar ou vincular, utilizando suas credenciais de login do Windows ao conectar ao servidor LDAP.

Necessário apenas se:

• Utilizando autorização LDAP.

• Using an LDAP query for username transformation.

• O servidor LDAP não permite ligações anônimas

Use --ldapBindWithOSDefaults to replace --ldapQueryUser and --ldapQueryPassword.

--ldapBindMethod <string>

Padrão: simples

Disponível apenas no MongoDB Enterprise.

The method mongod uses to authenticate to an LDAP server. Use with --ldapQueryUser and --ldapQueryPassword to connect to the LDAP server.

--ldapBindMethod suporta os seguintes valores:

• simple - mongod utiliza autenticação simples.

• sasl - mongod utiliza protocolo SASL para autenticação

If you specify sasl, you can configure the available SASL mechanisms using --ldapBindSaslMechanisms. mongod defaults to using DIGEST-MD5 mechanism.

--ldapBindSaslMechanisms <string>

Padrão: DIGEST-MD5

Disponível apenas no MongoDB Enterprise.

Uma lista separada por vírgulas de mecanismos SASL mongod pode utilizar ao autenticar para o servidor LDAP. O mongod e o servidor LDAP devem concordar com pelo menos um mecanismo. O mongod carrega dinamicamente quaisquer bibliotecas de mecanismos SASL instaladas na máquina host no runtime.

Instale e configure as bibliotecas apropriadas para o(s) mecanismo(s) SASL selecionado(s) no host do mongod e no host do servidor LDAP remoto. Seu sistema operacional pode incluir determinadas bibliotecas SASL por padrão. Respeite a documentação associada a cada mecanismo SASL para obter orientação sobre instalação e configuração.

Importante

Em hospedar com Cyrus SASL 2.1.28 ou posterior, o MongoDB não oferece suporte à vinculação LDAP SASL com o mecanismo DIGEST-MD5. Se você definir security.ldap.bind.method como sasl e especificar DIGEST-MD5 em security.ldap.bind.saslMechanisms, mongod e mongos falharão ao iniciar.

Para detalhes e alternativas, consulte DIGEST-MD5 não suportado com Cyrus SASL 2.1.28 e posterior.

Se estiver usando o mecanismo SASL GSSAPI para uso com a Autenticação Kerberos em Sistemas Autogerenciados, verifique o seguinte para a máquina host mongod :

Linux

• A variável de ambiente KRB5_CLIENT_KTNAME é resolvida para o nome do cliente Linux Keytab Files para a máquina host. Para obter mais informações sobre variáveis de ambiente Kerberos, consulte a documentação do Kerberos.

• O keytab do cliente inclui um User Principal para o mongod usar ao se conectar ao servidor LDAP e executar query LDAP.

Windows

Se estiver conectando a um servidor Active Directory, a configuração do Windows Kerberos gerará automaticamente um Ticket-Granting-Ticket quando o usuário fizer login no sistema. Defina --ldapBindWithOSDefaults como true para permitir que mongod use as credenciais geradas ao se conectar ao servidor do Active Directory e executar consultas.

Set --ldapBindMethod to sasl to use this option.

Observação

Para obter uma lista completa dos mecanismos SASL, consulte a lista da IANA . Consulte a documentação do seu serviço LDAP ou Active Directory para identificar os mecanismos SASL compatíveis com o serviço.

MongoDB não é uma fonte de bibliotecas de mecanismo SASL nem a documentação do MongoDB é uma fonte definitiva para instalação ou configuração de qualquer mecanismo SASL. Para documentação e suporte, consulte o fornecedor ou proprietário da biblioteca do mecanismo SASL.

Para obter mais informações sobre SASL, consulte os seguintes recursos:

• Para Linux, consulte a documentação do Cyrus SASL.

• Para Windows, consulte a documentação do Windows SASL.

--ldapTransportSecurity <string>

Padrão: tls

Disponível apenas no MongoDB Enterprise.

Por padrão, o mongod cria uma conexão segura TLS/SSL para o servidor LDAP.

Para implantações do Linux, você deve configurar as Opções de TLS apropriadas no arquivo /etc/openldap/ldap.conf. O gerenciador de pacotes do seu sistema operacional cria esse arquivo como parte da instalação do MongoDB Enterprise, por meio da dependência libldap. Consulte a documentação do TLS Options na documentação ldap.conf OpenLDAP para instruções mais completas.

Para o sistema do Windows, você deve adicionar os certificados CA do servidor LDAP à ferramenta de gerenciamento de certificados do Windows. O nome exato e a funcionalidade da ferramenta podem variar dependendo da versão do sistema operacional. Consulte a documentação da sua versão do Windows para obter mais informações sobre o gerenciamento de certificados.

Set --ldapTransportSecurity to none to disable TLS/SSL between mongod and the LDAP server.

Aviso

Setting --ldapTransportSecurity to none transmits plaintext information and possibly credentials between mongod and the LDAP server.

--ldapTimeoutMS <int>

Padrão: 10000

Disponível apenas no MongoDB Enterprise.

A quantidade de tempo em milésimos de segundo mongod deve aguardar a resposta de um servidor LDAP a uma solicitação.

Increasing the value of --ldapTimeoutMS may prevent connection failure between the MongoDB server and the LDAP server, if the source of the failure is a connection timeout. Decreasing the value of --ldapTimeoutMS reduces the time MongoDB waits for a response from the LDAP server.

Esta configuração pode ser configurada em um mongod executando utilizando setParameter.

--ldapRetryCount <int>

Novidades na versão 6.1.

Padrão: 0

Disponível apenas no MongoDB Enterprise.

Número de tentativas de operação pelo gerenciador LDAP do servidor após um erro de rede.

--ldapUserToDNMapping <string>

Disponível apenas no MongoDB Enterprise.

Mapeia o nome de usuário fornecido ao mongod para autenticação para um nome diferenciado (DN) LDAP. Talvez seja necessário usar --ldapUserToDNMapping para transformar um nome de usuário em um DN LDAP nos seguintes cenários:

• Executando autenticação LDAP com ligação LDAP simples, onde os usuários se autenticam no MongoDB com nomes de usuário que não são DNs LDAP completos.

• Using an LDAP authorization query template that requires a DN.

• Transformar os nomes de usuário de clientes autenticados no Mongo DB usando diferentes mecanismos de autenticação, como x.509 ou Kerberos, em um DN LDAP completo para autorização.

--ldapUserToDNMapping expects a quote-enclosed JSON-string representing an ordered array of documents. Each document contains a regular expression match and either a substitution or ldapQuery template used for transforming the incoming username.

Cada documento na array tem o seguinte formato:

{
  match: "<regex>"
  substitution: "<LDAP DN>" | ldapQuery: "<LDAP Query>"
}

Campo	Descrição	Exemplo
match	Uma expressão regular (regex) formatada pelo ECMAScript para corresponder a um nome de usuário fornecido. Cada seção de parênteses representa um grupo de captura regex utilizado pelo substitution ou ldapQuery.	"(.+)ENGINEERING" "(.+)DBA"
substitution	Um modelo de formatação de nome distinto (DN) LDAP que converte o nome de autenticação correspondente pelo regex match em um DN LDAP. Cada valor numérico entre colchetes é substituído pelo grupo de captura regex extraído do nome de usuário de autenticação por meio da regex match. O resultado da substituição deve ser um RFC4514 string escapade.	"cn={0},ou=engineering, dc=example,dc=com"
ldapQuery	Um modelo de formatação de query LDAP que insere o nome de autenticação correspondente ao regex match em um URI de query LDAP criptografado respeitando RFC4515 e RFC4516. Cada valor numérico entre colchetes é substituído pelo grupo de captura regex extraído do nome de usuário de autenticação por meio da expressão match. O mongod executa a query no servidor LDAP para recuperar o nome diferenciado LDAP do usuário autenticado. mongod exige exatamente um resultado retornado para que a transformação seja bem-sucedida, ou mongod ignora essa transformação.	"ou=engineering,dc=example, dc=com??one?(user={0})"

Observação

Uma explicação da RFC4514, RFC4515, RFC4516, ou queries LDAP estão fora do escopo da documentação do MongoDB. Revise o RFC diretamente ou use o recurso LDAP da sua preferência.

Para cada documento na array, você deve usar substitution ou ldapQuery. Você não pode especificar ambos no mesmo documento.

Ao executar a autenticação ou autorização, mongod etapas através de cada documento na array no pedido fornecido, verificando o nome de usuário da autenticação no filtro match. Se uma correspondência for localizada, o mongod aplicará a transformação e utilizará a saída para autenticar o usuário. mongod não verifica os documentos restantes na array.

Se o documento fornecido não corresponder ao nome de autenticação fornecido, mongod continuará na lista de documentos para encontrar correspondências adicionais. Se nenhuma correspondência for encontrada em nenhum documento ou se a transformação descrita no documento falhar, mongod retornará um erro.

mongod também retorna um erro se uma das transformações não puder ser avaliada devido a falhas de rede ou de autenticação no servidor LDAP. mongod rejeita a solicitação de conexão e não verifica os documentos restantes no array.

Starting in MongoDB 5.0, --ldapUserToDNMapping accepts an empty string "" or empty array [ ] in place of a mapping documnent. If providing an empty string or empty array to --ldapUserToDNMapping, MongoDB maps the authenticated username as the LDAP DN. In earlier versions, providing an empty mapping document causes mapping to fail.

Exemplo

O seguinte mostra dois documentos de transformação. O primeiro documento coincide com qualquer string que termine em @ENGINEERING, colocando qualquer coisa que preceda o sufixo em um grupo de captura de regex. O segundo documento coincide com qualquer string que termine em @DBA, colocando qualquer coisa que preceda o sufixo em um grupo de captura de regex.

IMPORTANT You must pass the array to --ldapUserToDNMapping as a string.

"[
   {
      match: "(.+)@ENGINEERING.EXAMPLE.COM",
      substitution: "cn={0},ou=engineering,dc=example,dc=com"
   },
   {
      match: "(.+)@DBA.EXAMPLE.COM",
      ldapQuery: "ou=dba,dc=example,dc=com??one?(user={0})"
   }
]"

Um usuário com o nome de usuário alice@ENGINEERING.EXAMPLE.COM corresponde ao primeiro documento. O grupo de captura regex {0} corresponde à cadeia de caracteres alice. A saída resultante é o DN "cn=alice,ou=engineering,dc=example,dc=com".

Um usuário com nome de usuário bob@DBA.EXAMPLE.COM corresponde ao segundo documento. O grupo de captura regex {0} corresponde à cadeia de caracteres bob. A saída resultante é a query LDAP "ou=dba,dc=example,dc=com??one?(user=bob)". mongod executa esta query no servidor LDAP, retornando o resultado "cn=bob,ou=dba,dc=example,dc=com".

If --ldapUserToDNMapping is unset, mongod applies no transformations to the username when attempting to authenticate or authorize a user against the LDAP server.

Essa configuração pode ser definida em um mongod em execução usando o comando setParameter banco de dados.

--ldapAuthzQueryTemplate <string>

Disponível apenas no MongoDB Enterprise.

Uma URL de query LDAP relativa formatada em conformidade com RFC4515 e RFC4516 que o mongod executa para obter os grupos LDAP aos quais o usuário autenticado pertence. A query é relativa ao host ou hosts especificados no --ldapServers.

Na URL, você pode usar os seguintes tokens de substituição:

Token de substituição	Descrição
{USER}	Substitutes the authenticated username, or the transformed username if a username mapping is specified.
{PROVIDED_USER}	Substitui o nome de usuário fornecido, ou seja, antes da autenticação ou LDAP transformation.

Ao construir a URL de query, certifique-se de que a ordem dos parâmetros LDAP respeite RFC4516:

[ dn  [ ? [attributes] [ ? [scope] [ ? [filter] [ ? [Extensions] ] ] ] ] ]

Se sua query incluir um atributo, mongod pressupõe que a query recupera um dos DNs dos quais essa entidade é membro.

Se a sua query não incluir um atributo, mongod assume que a query recupera todas as entidades das quais o usuário é membro.

Para cada DN LDAP retornado pela query, o mongod atribui ao usuário autorizado um papel correspondente no banco de dados do admin. Se uma função no banco de dados do admin corresponder exatamente ao DN, o mongod concede ao usuário as funções e privilégios atribuídos a esta função. Consulte o método db.createRole() para obter mais informações sobre a criação de funções.

Exemplo

Esta query LDAP retorna quaisquer grupos listados no atributo memberOf do objeto de usuário LDAP.

"{USER}?memberOf?base"

Sua configuração LDAP pode não incluir o atributo memberOf como parte do esquema do usuário, pode possuir um atributo diferente para relatar a associação ao grupo ou pode não controlar a associação ao grupo por meio de atributos. Configure sua query com relação à sua configuração LDAP exclusiva.

Se não for definido, mongod não poderá autorizar usuários usando LDAP.

Essa configuração pode ser definida em um mongod em execução usando o comando setParameter banco de dados.

Observação

Uma explicação da RFC4515, RFC4516 ou queries LDAP estão fora do escopo da documentação do MongoDB. Revise o RFC diretamente ou use o recurso LDAP da sua preferência.

Opções de armazenamento

--storageEngine string

Padrão: wiredTiger

Especifica o mecanismo de armazenamento para o banco de dados do mongod. Os valores disponíveis incluem:

Valor	Descrição
wiredTiger	Para especificar o Mecanismo de Armazenamento WiredTiger.
inMemory	Para especificar o Mecanismo de armazenamento in-memory para sistemas autogerenciados. Disponível apenas no MongoDB Enterprise.

If you attempt to start a mongod with a --dbpath that contains data files produced by a storage engine other than the one specified by --storageEngine, mongod doesn't start.

--dbpath <path>

Padrão: /data/db no Linux e macOS, \data\db no Windows

O diretório onde a instância do mongod armazena seus dados.

Se utilizar o Arquivo de Configuração padrão incluído com uma instalação do gerenciador de pacotes do MongoDB, a configuração correspondente do storage.dbPath utilizará um padrão diferente.

The files in --dbpath must correspond to the storage engine specified in --storageEngine. If the data files do not correspond to --storageEngine, mongod doesn't start.

--directoryperdb

Uses a separate directory to store data for each database. The directories are under the --dbpath directory, and each subdirectory name corresponds to the database name.

Not available for mongod instances that use the in-memory storage engine.

Starting in MongoDB 5.0, dropping the final collection in a database (or dropping the database itself) when --directoryperdb is enabled deletes the newly empty subdirectory for that database.

To change the --directoryperdb option for existing deployments:

• Para instâncias standalone:

  1. Use mongodump on the existing mongod instance to generate a backup.

  2. Pare a instância do mongod.

  3. Add the --directoryperdb value and configure a new data directory

  4. Reinicie a instância do mongod.

  5. Use mongorestore to populate the new data directory.

• Para conjuntos de réplicas:

  1. Pare um membro secundário.

  2. Add the --directoryperdb value and configure a new data directory to that secondary member.

  3. Reinicie esse secundário.

  4. Utilize sincronização inicial para preencher o novo diretório de dados.

  5. Atualize os secundários restantes da mesma maneira.

  6. Mova para baixo o membro primário e atualize o membro movido para baixo da mesma maneira.

--syncdelay <value>

Padrão: 60

Controla quanto tempo pode passar antes que o MongoDB transfira os dados para os arquivos de dados.

Não defina esse valor em sistemas de produção. Em quase todas as situações, você deve usar a configuração padrão.

The mongod process writes data very quickly to the journal and lazily to the data files. --syncdelay has no effect on journaling, but if --syncdelay is set to 0 the journal eventually consumes all available disk space.

Not available for mongod instances that use the in-memory storage engine.

Para fornecer dados duráveis, o WiredTiger usa checkpoints. Para obter mais detalhes, consulte Registro no diário e mecanismo de armazenamento WiredTiger.

--upgrade

Upgrades the on-disk data format of the files specified by the --dbpath to the latest version, if needed.

Esta opção afeta somente a operação do mongod se os arquivos de dados estiverem em um formato antigo.

Na maioria dos casos, você não deve definir esse valor para poder exercer o controle máximo sobre o processo de atualização. Consulte as notas de versão do MongoDB para obter mais informações sobre o processo de atualização.

--repair

Executa uma rotina de reparo em todos os bancos de dados para uma instância do mongod.

A partir do MongoDB 5.0:

• A operação de reparo valida a collection para encontrar quaisquer inconsistências e as corrige, se possível, o que evita a reconstrução dos índices.

• Se o ficheiro de dados de uma collection for recuperado ou se a collection tiver inconsistências que a etapa de validação não consegue corrigir, todos os índices serão reconstruídos.

Dica

Se você estiver executando com o journaling ativado, quase nunca será necessário executar o reparo, pois o servidor pode usar os arquivos de journaling para restaurar automaticamente os ficheiros de dados para um estado limpo. No entanto, talvez seja necessário executar o reparo nos casos em que você precise se recuperar de uma corrupção de dados no nível do disco.

Aviso

• Only use mongod --repair if you have no other options. The operation removes and does not save any corrupt data during the repair process.

• Avoid running --repair against a replica set member:

  • Para reparar um membro do conjunto de réplicas , se você tiver uma cópia intacta dos seus dados disponíveis (por exemplo, um backup recente ou um membro intacto do conjunto de réplicas), restaure a partir dessa cópia intacta. Para saber mais, consulte Sincronizar novamente um membro de um conjunto de réplicas autogerenciado.

  • If you choose to run mongod --repair against a replica set member and the operation modifies the data or the metadata, you must still perform a full resync in order for the member to rejoin the replica set.

• Before using --repair, make a backup copy of the dbpath directory.

• If repair fails to complete for any reason, you must restart the instance using the --repair option.

--journalCommitInterval <value>

Padrão: 100

A quantidade máxima de tempo, em milésimos de segundo, que o processo mongod permite entre as operações do diário. Os valores podem variar de 1 a 500 milésimos de segundo. Valores mais baixos aumentam a durabilidade do diário, em detrimento do desempenho do disco.

No WiredTiger, o intervalo padrão de confirmação do diário é de 100 milésimos de segundo. Uma escrita que inclui ou implica que o(a) j:true provoca uma sincronização imediata do diário. Para obter detalhes e condições adicionais que afetam a frequência da sincronização, consulte Processo de diário.

Not available for mongod instances that use the in-memory storage engine.

Opções do WiredTiger

--wiredTigerCacheSizeGB <float>

Define o tamanho máximo do cache interno que o WiredTiger utiliza para todos os dados. A memória consumida por uma construção de índice (consulte maxIndexBuildMemoryUsageMegabytes) é separada da memória de cache do WiredTiger.

Avoid increasing the WiredTiger internal cache size above its default value. If your use case requires to do so, you can use --wiredTigerCacheSizePct to specify a percentage of up to 80% of available memory. Values can range from 0.256GB to 10000GB.

Para saber mais, consulte Uso da memória.

Observação

Em alguns casos, como ao executar em um contêiner configurado para usar menos RAM do que a quantidade de memória provisionada para o host, você deve levar em conta os limites. Talvez seja necessário configurar o cache do WiredTiger com um valor apropriado, pois o WiredTiger pode não levar em conta os limites de memória do contêiner específico em determinados casos.

Para visualizar o memory limit, o valor que o WiredTiger utiliza como a quantidade máxima de RAM disponível utilize o comando hostInfo.

--wiredTigerCacheSizePct <float>

Define a quantidade máxima de memória a ser alocada para cache como uma porcentagem da RAM física. A memória que uma construção de índice consome (consulte maxIndexBuildMemoryUsageMegabytes) é separada da memória de cache do WiredTiger.

Você pode especificar uma porcentagem de até 80% da memória disponível. Os valores calculados variam de 0.256GB a 10000GB. Por exemplo, em um sistema com 2GB de RAM, o --wiredTigerCacheSizePct não pode ser definido como 10 porque 10% de 2GB é 0.2GB, que é menor que 0.256GB.

Para saber mais sobre os limites de memória, consulte Uso da memória.

Observação

Em alguns casos, como ao executar em um contêiner configurado para usar menos RAM do que a quantidade de memória provisionada para o host, você deve levar em conta os limites. Talvez seja necessário configurar o cache do WiredTiger com um valor apropriado, pois o WiredTiger pode não levar em conta os limites de memória do contêiner específico em determinados casos.

Para visualizar o memory limit, o valor que o WiredTiger utiliza como a quantidade máxima de RAM disponível utilize o comando hostInfo.

Com o cache do sistema de arquivos, o MongoDB usa automaticamente toda a memória livre que não é usada pelo cache do WiredTiger ou por outros processos.

Observação

The --wiredTigerCacheSizePct limits the size of the WiredTiger internal cache. The operating system uses the available free memory for filesystem cache, which allows the compressed MongoDB data files to stay in memory. In addition, the operating system uses any free RAM to buffer file system blocks and file system cache.

Para acomodar os consumidores adicionais de RAM, pode ser necessário diminuir o tamanho do cache interno do WiredTiger.

The default WiredTiger internal cache size value assumes that there is a single mongod instance per machine. If a single machine contains multiple MongoDB instances, decrease the setting to accommodate the other mongod instances.

If you run mongod in a container (for example, lxc, cgroups, Docker, etc.) that does not have access to all of the RAM available in a system, you must set --wiredTigerCacheSizePct or --wiredTigerCacheSizeGB to a value less than the amount of RAM available in the container. The exact amount depends on the other processes running in the container. See memLimitMB.

You can only provide one of either --wiredTigerCacheSizePct or --wiredTigerCacheSizeGB.

--wiredTigerJournalCompressor <compressor>

Padrão: snappy

Especifica o tipo de compactação a ser usada para compactar os dados do diário do WiredTiger.

Os compactadores disponíveis são:

• none

• snappy

• zlib

• zstd

--wiredTigerDirectoryForIndexes

When you start mongod with --wiredTigerDirectoryForIndexes, mongod stores indexes and collections in separate subdirectories under the data (i.e. --dbpath) directory. Specifically, mongod stores the indexes in a subdirectory named index and the collection data in a subdirectory named collection.

Usando um link simbólico, você pode especificar uma localização diferente para os índices. Especificamente, quando mongod a instância do não estiver em execução, mova o index subdiretório do para o destino e crie um link simbólico denominado index no diretório de dados para o novo destino.

--wiredTigerCollectionBlockCompressor <compressor>

Padrão: snappy

Especifica a compactação padrão para dados de collection. Você pode substituir isso por collection ao criar collections.

Os compactadores disponíveis são:

• none

• snappy

• zlib

• zstd

--wiredTigerCollectionBlockCompressor affects all collections created. If you change the value of --wiredTigerCollectionBlockCompressor on an existing MongoDB deployment, all new collections use the specified compressor. Existing collections continue to use the compressor specified when they were created, or the default compressor at that time.

--wiredTigerIndexPrefixCompression <boolean>

Padrão: true

Habilita ou desabilita a compressão de prefixo para dados de índice.

Specify true for --wiredTigerIndexPrefixCompression to enable prefix compression for index data, or false to disable prefix compression for index data.

The --wiredTigerIndexPrefixCompression setting affects all indexes created. If you change the value of --wiredTigerIndexPrefixCompression on an existing MongoDB deployment, all new indexes use prefix compression. Existing indexes are not affected.

Opções de replicação

--replSet <setname>

Configura a replicação. Especifique um nome de conjunto de réplicas como argumento para este conjunto. Todos os hosts no conjunto de réplicas devem ter o mesmo nome de conjunto.

Se seu aplicativo se conectar a mais de um conjunto de réplicas, cada conjunto deverá ter um nome distinto. Alguns drivers agrupam conexões de conjunto de réplicas por nome de conjunto de réplicas.

--oplogSize <value>

O tamanho máximo em megabytes do oplog. A configuração oplogSize define o tamanho descompactado do oplog, não o tamanho no disco.

Observação

O oplog pode ultrapassar seu limite de tamanho configurado para evitar a exclusão do majority commit point.

Por padrão, o processo do mongod cria um oplog baseado na quantidade máxima de espaço disponível. Para sistemas de 5 bits, o oplog é normalmente % do espaço em disco disponível.

Once the mongod has created the oplog for the first time, changing the --oplogSize option doesn't affect the size of the oplog. To change the minimum oplog retention period after starting the mongod, use replSetResizeOplog. replSetResizeOplog enables you to resize the oplog dynamically without restarting the mongod process. To persist the changes made using replSetResizeOplog through a restart, update the value of --oplogSize.

Consulte Tamanho do Oplog para obter mais informações.

--oplogMinRetentionHours <value>

Especifica o número mínimo de horas para preservar uma entrada de oplog, em que os valores decimais representam as frações de uma hora. Por exemplo, um valor de 1.5 representa uma hora e trinta minutos.

O valor deve ser maior ou igual a 0. Um valor de 0 indica que o mongod deve truncar o oplog começando com as entradas mais antigas para manter o tamanho máximo de oplog configurado.

Padrão é 0.

Um mongod iniciado com --oplogMinRetentionHours somente remove uma entrada de oplog se:

• O oplog atingiu o tamanho máximo de oplog configurado e

• A entrada do oplog é mais antiga que o número configurado de horas com base no relógio do sistema host.

O mongod tem o seguinte comportamento quando configurado com um período mínimo de retenção de oplog:

• O oplog pode crescer sem restrições, de modo a reter as entradas do oplog pelo número de horas configurado. Isto pode resultar na redução ou esgotamento do espaço em disco do sistema devido a uma combinação de alto volume escrita e grande período de retenção.

• Se o oplog crescer além de seu tamanho máximo, o mongod poderá continuar a manter esse espaço em disco, mesmo que o oplog retorne ao seu tamanho máximo ou esteja configurado para um tamanho máximo menor. Consulte reduzir o tamanho do oplog não retorna imediatamente espaço em disco.

• O mongod compara o relógio do sistema com um relógio de criação de entrada de oplog ao impor a retenção de entrada de oplog. O desvio do relógio entre os componentes do cluster pode resultar em um comportamento inesperado de retenção do oplog. Consulte Sincronização do relógio para obter mais informações sobre a sincronização do relógio entre os membros do cluster.

To change the minimum oplog retention period after starting the mongod, use replSetResizeOplog. replSetResizeOplog enables you to resize the oplog dynamically without restarting the mongod process. To persist the changes made using replSetResizeOplog through a restart, update the value of --oplogMinRetentionHours.

--enableMajorityReadConcern

Padrão: true

Configura o suporte para a read concern "majority".

Starting in MongoDB 5.0, --enableMajorityReadConcern cannot be changed and is always set to true. In earlier versions of MongoDB, --enableMajorityReadConcern was configurable.

Aviso

Se você estiver usando uma arquitetura PSA (primária-secundária-arbiter) de três membros, considere o seguinte:

• O write concern "majority" pode causar problemas de desempenho se um secundário não estiver disponível ou estiver atrasado. Para obter conselhos sobre como mitigar esses problemas, consulte Atenuar problemas de desempenho em conjuntos de réplicas de PSA autogerenciados.

• Se você estiver usando um "majority" padrão global e o write concern for menor do que o tamanho da maioria, suas consultas poderão retornar dados obsoletos (não totalmente replicados).

Opções de cluster fragmentado

--configsvr

Obrigatório ao iniciar um servidor de configuração.

Declares that this mongod instance serves as the config server of a sharded cluster. When running with this option, clients (i.e. other cluster components) cannot write data to any database other than config and admin. The default port for a mongod with this option is 27019 and the default --dbpath directory is /data/configdb, unless specified.

Importante

When starting a MongoDB server with --configsvr, you must also specify a --replSet.

O uso de instâncias mongod espelhadas obsoletas como servidores de configuração (SCCC) não é mais suportado.

Os servidores de configuração do conjunto de réplica (CSRS) devem executar o mecanismo de armazenamento WiredTiger.

The --configsvr option creates a local oplog.

Do not use the --configsvr option with --shardsvr. Config servers cannot be a shard server.

Do not use the --configsvr with the skipShardingConfigurationChecks parameter. That is, if you are temporarily starting the mongod as a standalone for maintenance operations, include the parameter skipShardingConfigurationChecks and exclude --configsvr. Once maintenance has completed, remove the skipShardingConfigurationChecks parameter and restart with --configsvr.

--shardsvr

Obrigatório ao iniciar um servidor de shard.

Configura esta instância mongod como um fragmento em um cluster fragmentado. A porta padrão para essas instâncias é 27018.

Importante

When starting a MongoDB server with --shardsvr, you must also specify a --replSet.

Do not use the --shardsvr with the skipShardingConfigurationChecks parameter. That is, if you are temporarily starting the mongod as a standalone for maintenance operations, include the parameter skipShardingConfigurationChecks and exclude --shardsvr. Once maintenance has completed, remove the skipShardingConfigurationChecks parameter and restart with --shardsvr.

--replicaSetConfigShardMaintenanceMode

Configura a instância mongod para iniciar no modo de manutenção. A opção desativa algumas verificações de inicialização, o que permite converter um conjunto de réplicas em um cluster fragmentado com um fragmento de configuração incorporado.

Novidades na versão 8.3.

Opções de TLS

--tlsMode <mode>

Enables TLS used for all network connections. The argument to the --tlsMode option can be one of the following:

Valor	Descrição
disabled	O servidor não usa TLS.
allowTLS	As conexões entre servidores não usam TLS. Para conexões recebidas , o servidor aceita TLS e não TLS.
preferTLS	As conexões entre servidores usam TLS. Para conexões recebidas , o servidor aceita TLS e não TLS.
requireTLS	O servidor usa e aceita apenas conexões criptografadas TLS.

Se --tlsCAFile ou tls.CAFile não for especificado e você não estiver usando a autenticação x.509, será necessário definir o parâmetro tlsUseSystemCA como true. Isso faz com que o MongoDB use o armazenamento de certificados de CA em todo o sistema ao se conectar a um servidor habilitado para TLS.

If using X.509 authentication, --tlsCAFile or tls.CAFile must be specified unless using --tlsCertificateSelector.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsCertificateKeyFile <filename>

Especifica o arquivo .pem que contém o certificado e a chave TLS.

On macOS or Windows, you can use the --tlsCertificateSelector option to specify a certificate from the operating system's secure certificate store instead of a PEM key file. --tlsCertificateKeyFile and --tlsCertificateSelector options are mutually exclusive. You can only specify one.

• On Linux/BSD, you must specify --tlsCertificateKeyFile when TLS/SSL is enabled.

• On Windows or macOS, you must specify either --tlsCertificateKeyFile or --tlsCertificateSelector when TLS/SSL is enabled.

  Importante

  For Windows only, MongoDB does not support encrypted PEM files. The mongod fails to start if it encounters an encrypted PEM file. To securely store and access a certificate for use with TLS on Windows, use --tlsCertificateSelector.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsCertificateKeyFilePassword <value>

Specifies the password to decrypt the certificate-key file (i.e. --tlsCertificateKeyFile). Use the --tlsCertificateKeyFilePassword option only if the certificate-key file is encrypted. In all cases, the mongod redacts the password from all logging and reporting output.

• On Linux/BSD, if the private key in the PEM file is encrypted and you do not specify the --tlsCertificateKeyFilePassword option, MongoDB prompts for a passphrase. See TLS/SSL Certificate Passphrase.

• On macOS, if the private key in the PEM file is encrypted, you must explicitly specify the --tlsCertificateKeyFilePassword option. Alternatively, you can use a certificate from the secure system store (see --tlsCertificateSelector) instead of a PEM file or use an unencrypted PEM file.

• On Windows, MongoDB does not support encrypted certificates. The mongod fails if it encounters an encrypted PEM file. Use --tlsCertificateSelector instead.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--clusterAuthMode <option>

Padrão: keyFile

O modo de autenticação usado para autenticação de cluster. Se você usar a autenticação X.509 interna, especifique aqui. Esta opção pode ter um dos seguintes valores:

Valor	Descrição
keyFile	Use um arquivo-chave para autenticação. Aceite apenas arquivos-chave.
sendKeyFile	Para fins de atualização contínua. Envie um arquivo-chave para autenticação, mas pode aceitar arquivos-chave e certificados X.509.
sendX509	Para fins de atualização contínua. Envie o certificado X.509 para autenticação, mas pode aceitar arquivos-chave e certificados X.509.
x509	Recomendado. Envie o certificado X.509 para autenticação e aceite apenas certificados X.509.

Se --tlsCAFile ou tls.CAFile não for especificado e você não estiver usando a autenticação x.509, será necessário definir o parâmetro tlsUseSystemCA como true. Isso faz com que o MongoDB use o armazenamento de certificados de CA em todo o sistema ao se conectar a um servidor habilitado para TLS.

If using X.509 authentication, --tlsCAFile or tls.CAFile must be specified unless using --tlsCertificateSelector.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsClusterFile <filename>

Especifica o arquivo .pem que contém o arquivo de chave de certificado X.509 para autenticação de associação para o cluster ou conjunto de réplicas.

On macOS or Windows, you can use the --tlsClusterCertificateSelector option to specify a certificate from the operating system's secure certificate store instead of a PEM key file. --tlsClusterFile and --tlsClusterCertificateSelector options are mutually exclusive. You can only specify one.

If --tlsClusterFile does not specify the .pem file for internal cluster authentication or the alternative --tlsClusterCertificateSelector, the cluster uses the .pem file specified in the --tlsCertificateKeyFile option or the certificate returned by the --tlsCertificateSelector.

If using X.509 authentication, --tlsCAFile or tls.CAFile must be specified unless using --tlsCertificateSelector.

mongod / mongos logs a warning on connection if the presented X.509 certificate expires within 30 days of the mongod/mongos host system time.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

Importante

For Windows only, MongoDB does not support encrypted PEM files. The mongod fails to start if it encounters an encrypted PEM file. To securely store and access a certificate for use with membership authentication on Windows, use --tlsClusterCertificateSelector.

--tlsCertificateSelector <parameter>=<value>

Observação

Available on Windows and macOS as an alternative to --tlsCertificateKeyFile.

Especifica uma propriedade de certificado para selecionar um certificado correspondente do armazenamento de certificados do sistema operacional para usar para TLS.

The --tlsCertificateKeyFile and --tlsCertificateSelector options are mutually exclusive. You can only specify one.

--tlsCertificateSelector accepts an argument of the format <property>=<value> where the property can be one of the following:

Propriedade	Tipo de valor	Descrição
subject	string ASCII	Nome do assunto ou nome comum no certificado
thumbprint	string hexadecimal	Uma sequência de bytes, expressa em hexadecimal usada para identificar uma chave pública pelo seu resumo SHA-1. O thumbprint às vezes é denominado fingerprint.

Ao usar o armazenamento de certificados SSL do sistema, o OCSP (Online Certificate Status Protocol) é usado para validar o status de revogação dos certificados.

The mongod searches the operating system's secure certificate store for the CA certificates required to validate the full certificate chain of the specified TLS certificate. Specifically, the secure certificate store must contain the root CA and any intermediate CA certificates required to build the full certificate chain to the TLS certificate. Do not use --tlsCAFile or --tlsClusterCAFile to specify the root and intermediate CA certificate

Por exemplo, se o certificado TLS/SSL foi assinado com um único certificado CA raiz, o armazenamento seguro de certificados deverá conter esse certificado CA root. Se o certificado TLS/SSL foi assinado com um certificado CA intermediário, o armazenamento seguro de certificados deverá conter o certificado CA intermediário e o certificado CA raiz.

Observação

You cannot use the rotateCertificates command or the db.rotateCertificates() shell method when using net.tls.certificateSelector or --tlsCertificateSelector set to thumbprint

--tlsClusterCertificateSelector <parameter>=<value>

Observação

Available on Windows and macOS as an alternative to --tlsClusterFile.

Especifica uma propriedade de certificado para selecionar um certificado correspondente no armazenamento de certificados do sistema operacional para autenticação interna de associação de x.509.

--tlsClusterFile and --tlsClusterCertificateSelector options are mutually exclusive. You can only specify one.

--tlsClusterCertificateSelector accepts an argument of the format <property>=<value> where the property can be one of the following:

Propriedade	Tipo de valor	Descrição
subject	string ASCII	Nome do assunto ou nome comum no certificado
thumbprint	string hexadecimal	Uma sequência de bytes, expressa em hexadecimal usada para identificar uma chave pública pelo seu resumo SHA-1. O thumbprint às vezes é denominado fingerprint.

The mongod searches the operating system's secure certificate store for the CA certificates required to validate the full certificate chain of the specified cluster certificate. Specifically, the secure certificate store must contain the root CA and any intermediate CA certificates required to build the full certificate chain to the cluster certificate. Do not use --tlsCAFile or --tlsClusterCAFile to specify the root and intermediate CA certificate.

Por exemplo, se o certificado cluster tiver sido assinado com um único certificado CA raiz, o armazenamento seguro de certificados deverá conter esse certificado CA raiz. Se o certificado cluster foi assinado com um certificado CA intermediário, o armazenamento de certificados seguro deverá conter o certificado CA intermediário e o certificado CA raiz.

mongod / mongos logs a warning on connection if the presented X.509 certificate expires within 30 days of the mongod/mongos host system time.

--tlsClusterPassword <value>

Specifies the password to decrypt the X.509 certificate-key file specified with --tlsClusterFile. Use the --tlsClusterPassword option only if the certificate-key file is encrypted. In all cases, the mongod redacts the password from all logging and reporting output.

• On Linux/BSD, if the private key in the X.509 file is encrypted and you do not specify the --tlsClusterPassword option, MongoDB prompts for a passphrase. See TLS/SSL Certificate Passphrase.

• On macOS, if the private key in the X.509 file is encrypted, you must explicitly specify the --tlsClusterPassword option. Alternatively, you can either use a certificate from the secure system store (see --tlsClusterCertificateSelector) instead of a cluster PEM file or use an unencrypted PEM file.

• On Windows, MongoDB does not support encrypted certificates. The mongod fails if it encounters an encrypted PEM file. Use --tlsClusterCertificateSelector instead.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsCAFile <filename>

Especifica o arquivo .pem que contém a sequência de certificados raiz da autoridade de certificação. Especifique o nome do arquivo .pem usando caminhos relativos ou absolutos.

Importante

When starting a mongod instance with TLS/SSL enabled, you must specify a value for the --tlsCAFile flag, the net.tls.CAFile configuration option, or the tlsUseSystemCA parameter.

--tlsCAFile, tls.CAFile e tlsUseSystemCA são mutuamente exclusivos.

Somente Windows/macOS

If using --tlsCertificateSelector and/or --tlsClusterCertificateSelector, do not use --tlsCAFile to specify the root and intermediate CA certificates. Store all CA certificates required to validate the full trust chain of the --tlsCertificateSelector and/or --tlsClusterCertificateSelector certificates in the secure certificate store.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsClusterCAFile <filename>

Specifies the .pem file that contains the root certificate chain from the Certificate Authority used to validate the certificate presented by a client establishing a connection. Specify the file name of the .pem file using relative or absolute paths. --tlsClusterCAFile requires that --tlsCAFile is set.

If --tlsClusterCAFile does not specify the .pem file for validating the certificate from a client establishing a connection, the cluster uses the .pem file specified in the --tlsCAFile option.

--tlsClusterCAFile permite que você use autoridades de certificação separadas para verificar as partes cliente-servidor e servidor-cliente do handshake TLS.

Somente Windows/macOS

If using --tlsCertificateSelector and/or --tlsClusterCertificateSelector, do not use --tlsClusterCAFile to specify the root and intermediate CA certificates. Store all CA certificates required to validate the full trust chain of the --tlsCertificateSelector and/or --tlsClusterCertificateSelector certificates in the secure certificate store.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsCRLFile <filename>

Especifica o arquivo .pem que contém a lista de certificados revogados. Especifique o nome do arquivo .pem usando caminhos relativos ou absolutos.

Observação

• You cannot specify a CRL file on macOS. Instead, you can use the system SSL certificate store, which uses OCSP (Online Certificate Status Protocol) to validate the revocation status of certificates. See --tlsCertificateSelector to use the system SSL certificate store.

• Para verificar a revogação de certificados, o MongoDB enables o uso do OCSP (Protocolo de Status de Certificado Online, Online Certificate Status Protocol na língua inglesa) por padrão, como alternativa à especificação de um arquivo CRL ou ao uso do armazenamento de certificados SSL do sistema.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsAllowInvalidCertificates

Ignora as verificações de validação de certificados TLS em outros servidores no cluster e permite o uso de certificados inválidos para conexões.

Observação

Se você especificar --tlsAllowInvalidCertificates ou tls.allowInvalidCertificates: true ao usar a autenticação X.509, um certificado inválido será suficiente apenas para estabelecer uma conexão TLS, mas será insuficiente para autenticação.

When using the --tlsAllowInvalidCertificates setting, MongoDB logs a warning regarding the use of the invalid certificate.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsAllowInvalidHostnames

Desabilita a validação dos nomes de host em certificados TLS ao conectar-se a outros membros do conjunto de réplicas ou cluster fragmentado para autenticação entre processos. Isso permite que mongod se conecte a outros membros se os nomes de host em seus certificados não corresponderem ao nome de host configurado.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsAllowConnectionsWithoutCertificates

Por padrão, o servidor ignora a validação do certificado de cliente, a menos que o servidor esteja configurado para utilizar um arquivo CA. Se um arquivo CA for fornecido, as regras a seguir serão aplicadas:

• For clients that don't provide certificates, mongod or mongos encrypts the TLS/SSL connection, assuming the connection is successfully made.

• For clients that present a certificate, mongod performs certificate validation using the root certificate chain specified by --tlsCAFile and reject clients with invalid certificates.

Use the --tlsAllowConnectionsWithoutCertificates option if you have a mixed deployment that includes clients that do not or cannot present certificates to the mongod.

Para obter mais informações sobre TLS e MongoDB, consulte Configurar instâncias do MongoDB para criptografia TLS/SSL e Conectar-se a um conjunto de réplicas habilitado para TLS .

--tlsDisabledProtocols <protocol(s)>

Impede que um servidor MongoDB em execução com TLS aceite conexões recebidas que usam um protocolo ou protocolos específicos. Para especificar protocolos, use uma lista de protocolos separados por vírgulas.

--tlsDisabledProtocols recognizes the following protocols: TLS1_0, TLS1_1, TLS1_2, and TLS1_3.

• No macOS, você não pode desativar TLS1_1 e deixar TLS1_0 e TLS1_2 ativados. Você deve desativar pelo menos um dos outros dois, por exemplo, TLS1_0,TLS1_1.

• Para listar vários protocolos, especifique uma lista de protocolos separados por vírgula. Por exemplo TLS1_0,TLS1_1.

• A especificação de um protocolo não reconhecido impede o servidor de iniciar.

• Os protocolos desabilitados especificados substituem qualquer protocolo padrão desabilitado.

MongoDB disables the use of TLS 1.0 if TLS 1.1+ is available on the system. To enable the disabled TLS 1.0, specify none to --tlsDisabledProtocols.

Os membros dos conjuntos de réplicas e cluster fragmentado devem falar pelo menos um protocolo em comum.

Dica

Não permitir protocolos

--tlsFIPSMode

Directs the mongod to use the FIPS mode of the TLS library. Your system must have a FIPS compliant library to use the --tlsFIPSMode option.

Starting in MongoDB 8.3, you cannot specify SCRAM-SHA-1 for authenticationMechanisms while also specifying mongod --tlsFIPSMode or mongos --tlsFIPSMode.

Se você tentar especificar SCRAM-SHA-1 para authenticationMechanisms e, ao mesmo tempo, especificar --tlsFIPSMode, o servidor lançará um erro e registrará uma mensagem semelhante à seguinte:

SCRAM-SHA-1 is not allowed in FIPS mode.

Observação

O TLS/SSL compatível com FIPS está disponível apenas no MongoDB Enterprise. Consulte Configurar MongoDB para FIPS para obter mais informações.

Opções de analisador

--profile <level>

Padrão: 0

Configura o nível do perfil do banco de dados. Os seguintes níveis de analisador estão disponíveis:

0

O analisador está desligado e não coleta dados. Este é o nível do analisador padrão.

1

O profiler coleta dados para operações que excedem o limite de slowms ou correspondem a um filtro especificado.

Quando um filtro é definido:

• As opções slowms e sampleRate não são usadas para análise.

• O criador de perfil captura somente as operações que correspondem ao filtro.

2

O analisador coleta dados para todas as operações.

Ao definir para o nível 2, o profiler ignora os valores fornecidos pelo usuário para slowms e filter.

Aviso

A análise pode degradar o desempenho e expor dados de query não criptografados no registro do sistema. Considere cuidadosamente quaisquer implicações de desempenho e segurança antes de configurar e habilitar o analisador em um sistema de produção.

Consulte Sobrecarga do criador de perfil para obter mais informações sobre a possível degradação do desempenho.

--slowms <integer>

Padrão: 100

O limite do tempo de operação lenta, em milissegundos. As operações executadas por mais tempo que esse limite são consideradas lentas.

As operações lentas são registradas com base em workingMillis, que é a quantidade de tempo que o MongoDB gasta trabalhando nessa operação. Isso significa que fatores como a espera por bloqueios e o controle de fluxo não afetam o fato de uma operação exceder o limite de operação lenta.

Quando logLevel é definido como 0, o MongoDB registra operações lentas no log de diagnóstico a uma taxa determinada por slowOpSampleRate.

Em configurações logLevel mais altas, todas as operações aparecem no log de diagnóstico, independentemente de sua latência, com a seguinte exceção: o log de mensagens de entrada lentas de oplog pelos secundários. Os secundários registram apenas as entradas lentas do oplog; aumentar o logLevel não registra todas as entradas do oplog.

For mongod instances, --slowms affects the diagnostic log and, if enabled, the profiler.

Dica

Database Profiler

--defaultSlowInProgMS <integer>

Padrão: 5000

O limite de operation time lento para uma query em andamento, em milissegundos. O MongoDB registra as operações que são executadas por mais tempo que esse limite como queries lentas em andamento. O MongoDB registra uma query como uma query lenta em andamento assim que a operação de query ultrapassa o limite de tempo.

--slowOpSampleRate <double>

Padrão: 1.0

The fraction of slow operations that should be profiled or logged. --slowOpSampleRate accepts values between 0 and 1, inclusive.

--slowOpSampleRate does not affect the slow oplog entry logging by the secondary members of a replica set. Secondary members log all oplog entries that take longer than the slow operation threshold regardless of the --slowOpSampleRate.

For mongod instances, --slowOpSampleRate affects the diagnostic log and, if enabled, the profiler.

Opções de auditoria

--auditCompressionMode

Novidades na versão 5.3.

Specifies the compression mode for audit log encryption. You must also enable audit log encryption using either --auditEncryptionKeyUID or --auditLocalKeyFile.

Você pode definir esta opção para um destes valores:

Valor	Descrição
zstd	Use o algoritmo zstd para comprimir o registro de auditoria.
none (padrão)	Não comprima o registro de auditorias.

Observação

Disponível apenas no MongoDB Enterprise. MongoDB Enterprise e Atlas têm requisitos de configuração diferentes.

--auditDestination

Ativa a auditoria e especifica para onde mongod envia todos os eventos de auditoria.

--auditDestination pode ter um dos seguintes valores:

Valor	Descrição
syslog	Envie os eventos de auditoria para syslog no formato JSON. Não disponível no Windows. As mensagens de auditoria têm um nível de severidade syslog de info e um nível de facilidade de user. O limite de mensagens syslog pode resultar no truncamento de mensagens de auditoria. O sistema de auditoria não detecta o truncamento nem erros na sua ocorrência.
console	Envie os eventos de auditoria para stdout no formato JSON.
file	Output the audit events to the file specified in --auditPath in the format specified in --auditFormat.

Observação

Disponível somente em MongoDB Enterprise e MongoDB Atlas.

--auditEncryptionKeyUID

Novidades na versão 6.0.

Especifica o identificador exclusivo da chave KMIP (protocolo de interoperabilidade de gerenciamento de chaves) para criptografia de registro de auditorias.

You cannot use this option and --auditLocalKeyFile together.

Observação

Disponível apenas no MongoDB Enterprise. MongoDB Enterprise e Atlas têm requisitos de configuração diferentes.

--auditFormat

Specifies the format of the output file for auditing if --auditDestination is file. The --auditFormat option can have one of the following values:

Valor	Descrição
JSON	Output the audit events in JSON format to the file specified in --auditPath.
BSON	Output the audit events in BSON binary format to the file specified in --auditPath.

A impressão de eventos de auditoria em um arquivo no formato JSON degrada mais o desempenho do servidor do que a impressão em um arquivo no formato BSON.

Observação

Disponível somente em MongoDB Enterprise e MongoDB Atlas.

--auditLocalKeyFile

Novidades na versão 5.3.

Especifica o caminho e o nome do arquivo de uma chave de auditoria local para criptografia do registro de auditoria.

Observação

Only use this option for testing because the key is not secured. To secure the key, use --auditEncryptionKeyUID and an external Key Management Interoperability Protocol (KMIP) server.

Você não pode usar as duas opções juntas.

Observação

Disponível apenas no MongoDB Enterprise. MongoDB Enterprise e Atlas têm requisitos de configuração diferentes.

--auditPath

Specifies the output file for auditing if --auditDestination has value of file. The --auditPath option can take either a full path name or a relative path name.

Observação

Disponível somente em MongoDB Enterprise e MongoDB Atlas.

--auditFilter

Especifica o filtro para limitar os tipos de operações que o sistema de auditoria registra. A opção usa uma representação de string de um documento de consulta no formato:

{ <field1>: <expression1>, ... }

O <field> pode ser qualquer campo na mensagem de auditoria, incluindo os campos retornados no documento paramétrico. O <expression> é uma expressão de condição de consulta.

Para especificar um filtro de auditoria, coloque o documento do filtro entre aspas simples para passar o documento como uma string.

Para especificar o filtro de auditoria em um arquivo de configuração, você deve utilizar o formato YAML do arquivo de configuração.

Observação

Disponível somente em MongoDB Enterprise e MongoDB Atlas.

--auditSchema

Padrão: mongo

Novidades na versão 8.0.

Especifica o formato usado para logs de auditoria. Você pode especificar um dos seguintes valores para --auditSchema:

Valor	Descrição
mongo	Os logs são gravados em um formato projetado pelo MongoDB. Por exemplo, para mensagens de log, consulte Mensagens de auditoria do esquema do mongo.
OCSF	Os logs são escritos no formato OCSF . Esta opção fornece logs em um formato padronizado compatível com processadores de log. Para ver exemplos de mensagens de log, consulte Mensagens de auditoria de esquema do OCSF.

Opções do inMemory

--inMemorySizeGB <float>

Padrão: 50% da RAM física menos 1 GB.

Quantidade máxima de memória a ser alocada para os dados do mecanismo de armazenamento na memória, incluindo índices, o oplog (se mongod fizer parte de um conjunto de réplicas), metadados de cluster fragmentados etc.

Os valores podem variar de 256 MB a 10 TB e podem ser instáveis.

Por padrão, o mecanismo de armazenamento na memória usa 50% da RAM física menos 1 GB.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

Opções de gerenciamento de chave de encriptação

--enableEncryption

Padrão: false

Habilita a criptografia para o mecanismo de armazenamento WiredTiger. Esta opção deve estar habilitada para passar chaves de encriptação e configurações.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--encryptionCipherMode <string>

Padrão: AES256-CBC

O modo de cifra a ser usado para encryption at rest:

Modo	Descrição
AES256-CBC	Padrão de criptografia avançada de 256 bits no modo de sequenciamento de blocos de cifra
AES256-GCM	Padrão de criptografia avançada de 256 bits no modo Galois/Counter Disponível apenas no Linux. O MongoDB Enterprise no Windows não é mais compatível com o AES256-GCM como uma cifra de bloco para criptografia em repouso. Esse uso é compatível apenas com Linux.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--encryptionKeyFile <string>

O caminho para o arquivo-chave local ao gerenciar chaves por meio de um processo diferente do KMIP. Definido apenas ao gerenciar chaves por meio de um processo diferente do KMIP. Se os dados já estiverem criptografados usando KMIP, o MongoDB gerará um erro.

O arquivo-chave pode conter apenas uma única chave. A chave é uma string de 16 ou 32 caracteres.

Requires --enableEncryption.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipKeyIdentifier <string>

Unique KMIP identifier for an existing key within the KMIP server. Include to use the key associated with the identifier as the system key. You can only use the setting the first time you enable encryption for the mongod instance. Requires --enableEncryption.

Se não for especificada, o MongoDB solicita que o servidor KMIP crie uma chave nova para utilizar como chave do sistema.

Se o servidor KMIP não conseguir localizar uma chave com o identificador especificado ou os dados já estiverem criptografados com uma chave, o MongoDB lançará um erro

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipRotateMasterKey <boolean>

Padrão: false

Se for verdade, gire a chave mestra e criptografe novamente o keystore interno.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

Dica

Rotação da chave mestra KMIP

--kmipServerName <string>

Hostname or IP address of the KMIP server to connect to. Requires --enableEncryption.

Você pode especificar vários servidores KMIP como uma lista separada por vírgula, por exemplo: server1.example.com,server2.example.com. Na inicialização, o mongod tenta estabelecer uma conexão com cada servidor na ordem listada e seleciona o primeiro servidor com o qual pode estabelecer uma conexão com êxito. A seleção do servidor KMIP ocorre apenas na inicialização.

When connecting to a KMIP server, the mongod verifies that the specified --kmipServerName matches the Subject Alternative Name SAN (or, if SAN is not present, the Common Name CN) in the certificate presented by the KMIP server. If SAN is present, mongod does not match against the CN. If the hostname does not match the SAN (or CN), the mongod fails to connect.

A partir do MongoDB 4.2, ao realizar a comparação de SAN, o MongoDB oferece suporte à comparação de nomes DNS ou endereços IP. Nas versões anteriores, o MongoDB suporta apenas comparações de nomes DNS.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipPort <number>

Padrão: 5696

Port number to use to communicate with the KMIP server. Requires --kmipServerName. Requires --enableEncryption.

If specifying multiple KMIP servers with --kmipServerName, the mongod uses the port specified with --kmipPort for all provided KMIP servers.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipConnectRetries <number>

Padrão: 0

How many times to retry the initial connection to the KMIP server. Use together with --kmipConnectTimeoutMS to control how long the mongod waits for a response between each retry.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipConnectTimeoutMS <number>

Padrão: 5000

Timeout in milliseconds to wait for a response from the KMIP server. If the --kmipConnectRetries setting is specified, the mongod waits for the specified interval between retries.

O valor deve ser 1000 ou superior.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipClientCertificateSelector <string>

Novidades na versão 5.0:

Available on Windows and macOS as an alternative to --kmipClientCertificateFile.

--kmipClientCertificateFile and --kmipClientCertificateSelector options are mutually exclusive. You can only specify one.

Especifica uma propriedade de certificado para selecionar um certificado correspondente do armazenamento de certificados do sistema operacional para autenticar o MongoDB no servidor KMIP.

--kmipClientCertificateSelector accepts an argument of the format <property>=<value> where the property can be one of the following:

Propriedade	Tipo de valor	Descrição
subject	string ASCII	Nome do assunto ou nome comum no certificado
thumbprint	string hexadecimal	Uma sequência de bytes, expressa em hexadecimal usada para identificar uma chave pública pelo seu resumo SHA-1. O thumbprint às vezes é denominado fingerprint.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipClientCertificateFile <string>

Caminho para o arquivo .pem usado para autenticar o MongoDB no servidor KMIP. O arquivo .pem especificado deve conter o certificado e a chave TLS/SSL.

To use this option, you must also specify the --kmipServerName option.

Importante

Habilitar a criptografia usando um servidor KMIP no Windows falha ao usar --kmipClientCertificateFile e o servidor KMIP impõe TLS 1.2.

Para habilitar a encryption at rest com KMIP no Windows, você deve:

• Importe o certificado do cliente para o Armazenamento de certificados do Windows.

• Use the --kmipClientCertificateSelector configuration option.

Observação

On macOS or Windows, you can use a certificate from the operating system's secure store instead of a PEM key file. See --kmipClientCertificateSelector.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipClientCertificatePassword <string>

The password to decrypt the Private Key of the Client Certificate that connects to the KMIP server. This option authenticates MongoDB to the KMIP server and requires that you provide a --kmipClientCertificateFile.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.

--kmipServerCAFile <string>

Caminho para o arquivo CA. Usado para validar a conexão segura do cliente com o servidor KMIP.

Observação

On macOS or Windows, you can use a certificate from the operating system's secure store instead of a PEM key file. See --kmipClientCertificateSelector. When using the secure store, you do not need to, but can, also specify the --kmipServerCAFile.

--kmipActivateKeys <boolean>

Padrão: true

Novidades na versão 5.3.

Ativa todas as chaves KMIP recém-criadas na criação e, em seguida, verifica periodicamente se essas chaves estão em estado ativo.

When --kmipActivateKeys is true and you have existing keys on a KMIP server, the key must be activated first or the mongod node fails to start.

If the key being used by the mongod transitions into a non-active state, the mongod node shuts down unless kmipActivateKeys is false. To ensure you have an active key, rotate the KMIP master key by using --kmipRotateMasterKey.

--kmipKeyStatePollingSeconds <integer>

Padrão: 900 segundos

Novidades na versão 5.3.

Frequência em segundos em que mongod pesquisa o servidor KMIP em busca de chaves ativas.

Para desabilitar a pesquisa, defina o valor como -1.

--kmipUseLegacyProtocol <boolean>

Padrão: false

Novidades na versão 7.0: (e 6.0.6)

Quando true, mongod usa o protocolo KMIP versão 1.0 ou 1.1 em vez da versão padrão. O protocolo KMIP padrão é a versão 1.2.

Para usar a criptografia de registro de auditoria com KMIP versão 1.0 ou 1.1, você deve especificar auditEncryptKeyWithKMIPGet na inicialização.

--eseDatabaseKeyRollover

Passe o mouse sobre as chaves de banco de dados do mecanismo de armazenamento criptografado configuradas com cifra AES256-GCM.

Quando a instância mongod é iniciada com esta opção, a instância gira as chaves e sai.

Observação

Funcionalidade de empresas

Disponível apenas no MongoDB Enterprise.