Distribuir um cluster fragmentado com autenticação de keyfile

Inicie cada mongod no conjunto de réplicas do servidor de configuração. Inclua a configuração keyFile. A configuração keyFile impõe a Autenticação Interna/Associação e o Controle de Acesso Baseado em Função.

Você pode especificar as configurações mongod por meio de um arquivo de configuração ou da linha de comando.

Arquivo de configuração

Se estiver usando um arquivo de configuração, defina security.keyFile para o caminho do arquivo-chave, sharding.clusterRole para configsvre replication.replSetName para o nome desejado do conjunto de réplicas do servidor de configuração.

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: configsvr
replication:
  replSetName: <setname>

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique a configuração net.bindIp .

Inicie o mongod especificando a opção --config e o caminho para o arquivo de configuração.

mongod --config <path-to-config-file>

Linha de comando

Se utilizar os parâmetros da linha de comando, inicie o mongod com os parâmetros --keyFile, --configsvr e --replSet .

mongod --keyFile <path-to-keyfile> --configsvr --replSet <setname> --dbpath <path>

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique o --bind_ip.

Conecte-se a um nó do conjunto de réplicas pela interface localhost.

Conecte mongosh a uma das instâncias mongod pela interface localhost. Você deve executar mongosh na mesma máquina física que a instância mongod .

A interface localhost só está disponível porque nenhum usuário foi criado para o sistema. A interface localhost fecha após a criação do primeiro usuário.

O método rs.initiate() inicia o conjunto de réplicas e pode utilizar um documento de configuração do conjunto de réplica opcional. No documento de configuração do conjunto de réplicas, inclua:

• O _id. O parâmetro _id deve corresponder ao parâmetro --replSet passado para mongod.

• O campo members. O campo members é uma array e requer um documento por cada membro do conjunto de réplicas.

• O campo configsvr. O campo configsvr deve ser configurado para true para o conjunto de réplicas do servidor de configuração.

Consulte Configuração do conjunto de réplicas para mais informações sobre documentos de configuração do conjunto de réplicas.

Inicie o conjunto de réplicas utilizando o método rs.initiate() e um documento de configuração:

rs.initiate(
  {
    _id: "myReplSet",
    configsvr: true,
    members: [
      { _id : 0, host : "cfg1.example.net:27019" },
      { _id : 1, host : "cfg2.example.net:27019" },
      { _id : 2, host : "cfg3.example.net:27019" }
    ]
  }
)

Inicie cada nó do conjunto de réplicas com o controle de acesso habilitado.

A execução de um mongod com o parâmetro keyFile força a autenticação interna/associação e o controle de acesso baseado em roles.

Inicie cada mongod no conjunto de réplicas usando um arquivo de configuração ou a linha de comando.

Arquivo de configuração

Se estiver usando um arquivo de configuração, defina a opção security.keyFile como o caminho do arquivo de chaves, replication.replSetName como o nome desejado do conjunto de réplicas e a opção sharding.clusterRole como shardsvr.

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: shardsvr
replication:
  replSetName: <replSetName>
storage:
   dbPath: <path>

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique a configuração net.bindIp .

Inicie o mongod especificando a opção --config e o caminho para o arquivo de configuração.

mongod --config <path-to-config-file>

Linha de comando

Se usar a linha de comando, ao iniciar o componente especifique os parâmetros --keyFile, replSet e --shardsvr, como no seguinte exemplo:

mongod --keyFile <path-to-keyfile> --shardsvr --replSet <replSetName>  --dbpath <path>

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique o --bind_ip.

Conecte-se a um nó do conjunto de réplicas pela interface localhost.

Conecte mongosh a uma das instâncias mongod pela interface localhost. Você deve executar mongosh na mesma máquina física que a instância mongod .

A interface localhost só está disponível porque nenhum usuário foi criado para o sistema. A interface localhost fecha após a criação do primeiro usuário.

Inicie o conjunto de réplicas.

A partir mongosh, execute o método rs.initiate() .

rs.initiate() pode pegar um documento opcional de configuração do conjunto de réplicas. No documento de configuração do conjunto de réplicas, inclua:

• O campo _id definido com o nome do conjunto de réplicas especificado na opção replication.replSetName ou --replSet.

• A array members com um documento por cada membro do conjunto de réplicas.

O exemplo a seguir inicia um conjunto de réplicas de três nós.

rs.initiate(
  {
    _id : "myReplSet",
    members: [
      { _id : 0, host : "s1-mongo1.example.net:27018" },
      { _id : 1, host : "s1-mongo2.example.net:27018" },
      { _id : 2, host : "s1-mongo3.example.net:27018" }
    ]
  }
)

rs.initiate() desencadeia uma eleição e elege um dos nós para ser o primary.

Conecte-se ao primary antes de continuar. Use rs.status() para localizar o nó primary.

Crie o administrador de usuário local do fragmento (opcional).

Adicione um usuário utilizando o método db.createUser(). O usuário deve ter pelo menos o role userAdminAnyDatabase no banco de dados do admin.

Você deve estar conectado ao primary para criar usuários.

O exemplo a seguir cria o usuário fred com o role userAdminAnyDatabase no banco de dados do admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Digite a senha quando solicitado. Consulte Roles do usuário de banco de dados para obter uma lista completa das roles integradas e relacionadas às operações de administração do banco de dados.

Autentique-se como administrador de usuário local do fragmento (opcional).

Autenticar no banco de dados do admin.

Em mongosh, use db.auth() para autenticar. Por exemplo, o seguinte se autentica como administrador do usuário fred:

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

Como alternativa, conecte uma nova instância do mongosh ao membro do conjunto de réplicas primária utilizando os parâmetros -u <username>, -p <password> e --authenticationDatabase .

mongosh -u "fred" -p  --authenticationDatabase "admin"

Se você não especificar a senha para a opção de linha de comando -p , o mongosh solicitará a senha.

Crie o administrador do cluster local do shard (opcional).

O usuário administrador de cluster local de shard tem a funçãoclusterAdmin, que fornece privilégios que permitem acesso a operações de replicação.

Para uma lista completa de funções relacionadas com operações de conjunto de réplicas, consulte Funções de Administração de Cluster.

Crie um usuário de administrador do cluster e atribua o role do clusterAdmin no banco de dados do admin :

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

Digite a senha quando solicitado.

Veja as Roles de Administração de Cluster para obter uma lista completa de roles integrados relacionados às operações de conjunto de réplicas e operações de cluster fragmentado.

Conecte um mongos ao cluster

Inicie um mongos especificando o keyfile por meio de um arquivo de configuração ou de um parâmetro de linha de comando.

Arquivo de configuração

Se estiver usando um arquivo de configuração, defina security.keyFile como o caminho do arquivo de chaves e sharding.configDB como o nome do conjunto de réplicas e pelo menos um nó do conjunto de réplicas no formato <replSetName>/<host:port>.

security:
  keyFile: <path-to-keyfile>
sharding:
  configDB: <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique a configuração net.bindIp .

Inicie o mongos especificando a opção --config e o caminho para o arquivo de configuração.

mongos --config <path-to-config>

Linha de comando

Se utilizar parâmetros da linha de comando, inicie o mongos e especifique os parâmetros --keyFile e --configdb.

mongos --keyFile <path-to-keyfile> --configdb <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

Inclua opções adicionais, conforme necessário, para sua configuração. Por exemplo, se você deseja que clientes remotos se conectem à sua implementação ou se os membros da implementação forem executados em hosts diferentes, especifique o --bind_ip.

Conecte a um mongos pela interface localhost.

Conecte mongosh a uma das instâncias mongos pela interface localhost. Você deve executar mongosh na mesma máquina física que a instância mongos .

A interface localhost só está disponível porque nenhum usuário foi criado para o sistema. A interface localhost fecha após a criação do primeiro usuário.

Crie o administrador do usuário.

Adicione um usuário utilizando o método db.createUser(). O usuário deve ter pelo menos o role userAdminAnyDatabase no banco de dados do admin.

O exemplo seguinte cria o usuário fred no banco de dados do admin:

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd:  passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Consulte Roles do utilizador de banco de dados para obter uma lista completa das roles integradas e relacionadas às operações de administração do banco de dados.

Autenticar como administrador do usuário.

Utilize o db.auth() para autenticar como o administrador de usuário para criar usuários adicionais:

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

Digite a senha quando solicitado.

Como alternativa, conecte uma nova sessão mongosh ao membro do conjunto de réplicas de destino usando os parâmetros -u <username>, -p <password> e --authenticationDatabase "admin" . Você deve usar a Exceção de Localhost para se conectar ao mongos.

mongosh -u "fred" -p  --authenticationDatabase "admin"

Se você não especificar a senha para a opção de linha de comando -p , o mongosh solicitará a senha.

Criar usuário administrativo para o gerenciamento de cluster

O usuário de administrador do cluster tem a role clusterAdmin, que concede acesso a operações de replicação e fragmentação.

Crie um usuário do clusterAdmin no banco de dados do admin.

O exemplo seguinte cria o usuário ravi no banco de dados do admin.

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

Veja as Roles de Administração de Cluster para obter uma lista completa de roles integrados relacionados às operações de conjunto de réplicas e operações de cluster fragmentado.

Criar usuários adicionais (opcional).

Crie usuários para permitir que os clientes conectem e acessem o cluster fragmentado. Consulte Roles do utilizador do banco de dados para roles internos disponíveis, como read e readWrite. Você também pode querer usuários administrativos adicionais. Para mais informações sobre usuários, consulte Usuários.

Para criar usuários adicionais, você deve autenticar como um usuário com papéis do userAdminAnyDatabase ou userAdmin.