使用服务账户配置 Atlas 访问

在 Atlas 中创建服务帐户

使用Atlas用户界面或Atlas Administration API在Atlas中创建服务帐户。要学习；了解如何创建组织级别的服务帐户，请参阅在组织中创建服务帐户。要学习；了解如何创建项目级服务帐户，请参阅在项目中创建服务帐户。

复制clientId和clientSecret。安全存储它们，因为创建后您无法再次检索clientSecret。

创建 Kubernetes 连接秘密

创建包含orgId 、 和 的Kubernetes密钥。clientIdclientSecret

• 对于 global Atlas Kubernetes Operator 密钥，运行以下命令：

  注意

  globalAtlas Kubernetes Operator密钥的名称必须符合预定义的格式。 Atlas Kubernetes Operator部署的默认名称是mongodb-atlas-operator 。因此，密钥应命名为 mongodb-atlas-operator-service-account。

  kubectl create secret generic mongodb-atlas-operator-service-account \
     --from-literal="orgId=<the_atlas_organization_id>" \
     --from-literal="clientId=<the_service_account_client_id>" \
     --from-literal="clientSecret=<the_service_account_client_secret>" \
     -n <operator_namespace>
  kubectl label secret mongodb-atlas-operator-service-account \
     atlas.mongodb.com/type=credentials \
     -n mongodb-atlas-system

• 对于 project Atlas Kubernetes Operator 密钥，运行以下命令：

  kubectl create secret generic my-project-connection \
     --from-literal="orgId=<the_atlas_organization_id>" \
     --from-literal="clientId=<the_service_account_client_id>" \
     --from-literal="clientSecret=<the_service_account_client_secret>" \
     -n <atlas_project_namespace>
  kubectl label secret my-project-connection \
     atlas.mongodb.com/type=credentials \
     -n <atlas_project_namespace>

参考 Secret 来源 AtlasProject

使用 spec.connectionSecretRef.name 从 自定义资源引用密钥。AtlasProject

如果您创建了global 密钥，则默认下所有项目都会使用它，无需其他配置。

如果您创建了project 密钥，请将connectionSecretRef AtlasProject添加到您的 自定义资源中：

apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: "My Project"
  connectionSecretRef:
    name: my-project-connection

验证操作符使用服务账户

配置密钥后，验证Atlas Kubernetes Operator是否成功进行身份验证：

kubectl get atlasproject my-project -o jsonpath='{.status.conditions}'

检查 Ready 条件是否为 True。如果 Atlas Kubernetes Operator 无法使用 Service Account 凭证进行身份验证，条件中将显示描述该问题的错误。