/ /

`AtlasDatabaseUser` 自定义资源

AtlasDatabaseUser自定义资源配置 Atlas 项目中的数据库用户。您可以为每个项目（而不是每个集群）创建数据库用户。因此， AtlasDatabaseUser自定义资源配置包含对AtlasProject自定义资源的引用。事先创建AtlasProject自定义资源。

重要

自定义资源不再默认删除对象

Atlas Kubernetes Operator使用自定义资源配置文件来管理Atlas配置，但从Atlas Kubernetes Operator2.0 开始，您在Kubernetes中删除的自定义资源不再（默认）在Atlas中删除。相反， Atlas Kubernetes Operator只是停止管理Atlas中的这些资源。 AtlasProject示例，如果您在Kubernetes中删除自定义资源，默认默认， Atlas Kubernetes Operator不再自动从Atlas中删除相应的项目。这种行为更改旨在帮助防止意外删除。要学习；了解详情，包括如何将此行为恢复为在Atlas Kubernetes Operator.2 0之前使用的默认，请参阅新默认值： Atlas Kubernetes2 Operator.0 中的删除保护。

同样，如果您使用Atlas Kubernetes Operator从Kubernetes中的Atlas项目中删除团队，则Atlas Kubernetes Operator不会从Atlas中删除团队。
显式定义所需的配置详细信息，以避免隐式使用默认Atlas配置值。在某些情况下，继承Atlas默认值可能会导致协调循环，从而阻止自定义资源实现 READY 状态。示例，在 AtlasDeployment 自定义资源中显式定义所需的自动伸缩行为（如所包含的示例所示）可确保自定义资源中的静态实例大小不会重复应用于已启用自动伸缩的Atlas部署。
autoScaling: diskGB: enabled: true compute: enabled: true scaleDownEnabled: true minInstanceSize: M30 maxInstanceSize: M40

以下示例显示了对AtlasProject自定义资源的引用：

spec:
  projectRef:
    name: my-project

Atlas Kubernetes Operator 确保 Atlas 中的数据库用户配置与 Kubernetes 中的配置相匹配。

Atlas Kubernetes Operator 使用 Atlas Database Users API 执行以下操作之一：

创建新的数据库用户。
更新现有用户。

在创建数据库用户之前，您必须使用单个字段创建不透明密钥，以日志Atlas password集群数据库。

注意

您必须在 AtlasDatabaseUser自定义资源所在的同一命名空间中创建密钥。

以下示例将创建一个密钥：

kubectl create secret generic the-user-password --from-literal="password=P@@sword%"

Atlas Kubernetes Operator 仅监视带有标签 atlas.mongodb.com/type=credentials 的密钥，以避免监视不必要的密钥。

以下示例标记了密钥：

kubectl label secret the-user-password atlas.mongodb.com/type=credentials

连接密钥

在 Atlas Kubernetes Operator 在 Atlas 中成功创建或更新数据库用户后，Atlas Kubernetes Operator 会在AtlasDatabaseUser自定义资源所在的同一命名空间中创建或更新连接密钥。

连接密钥包含连接到 Atlas 集群所需的所有信息，包括以下参数：

Parameter	说明
`connectionStringStandard`	公共`mongodb://`连接URI 。
`connectionstringStandardSrv`	公共`mongodb+srv://`连接URI 。
`username`	标识数据库用户的名称。
`password`	数据库用户的密码。

在 Kubernetes 中运行的应用程序可以使用此信息连接到 Atlas 集群。您可以将密钥作为文件挂载到应用程序 Pod，应用程序进程可以读取这些文件以获取数据。

以下示例显示将密钥安装为环境变量：

spec:
containers:
- name: test-app
  env:
    - name: "CONNECTIONSTRING"
      valueFrom:
        secretKeyRef:
          name: project-cluster-basic-theuser
          key: connectionStringStandardSrv

以下示例展示了如何将密钥安装为文件：

spec:
containers:
- name: test-app
  volumeMounts:
  - mountPath: /var/secrets/
    name: theuser-connection
volumes:
  - name: theuser-connection
    secret:
      secretName: project-cluster-basic-theuser

By default, Atlas Kubernetes Operator creates the database user connection secret for each cluster in the same project that the AtlasDatabaseUser references. You can change this behavior with the spec.scopes parameter. This parameter restricts the clusters where the database user gets created. The name of the connection secret uses the following format: <project_name>-<cluster_name>-<db_user_name>.

示例

项目和集群

以下示例显示了 Atlas 项目以及引用该项目的集群：

apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
 name: my-project
spec:
 name: p1
 projectIpAccessList:
   - ipAddress: "192.0.2.15"
     comment: "IP address for Application Server A"
apiVersion: atlas.mongodb.com/v1
kind: AtlasDeployment
metadata:
 name: my-aws-cluster
spec:
 name: aws-cluster
 projectRef:
   name: my-project
 providerSettings:
   instanceSizeName: M10
   providerName: AWS
   regionName: US_EAST_1
apiVersion: atlas.mongodb.com/v1
kind: AtlasDeployment
metadata:
 name: my-gcp-cluster
spec:
 name: gcp-cluster
 projectRef:
   name: my-project
 providerSettings:
   instanceSizeName: M10
   providerName: GCP
   regionName: EASTERN_US

不带作用域的数据库用户

以下示例显示了省略 spec.scopes 的 AtlasDatabaseUser 自定义资源规范：

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
 name: my-database-user
spec:
 description: "User for the reporting application."
 roles:
   - roleName: readWriteAnyDatabase
     databaseName: admin
 projectRef:
   name: my-project
 username: theuser
 passwordSecretRef:
   name: the-user-password

创建此自定义资源后，Atlas Kubernetes Operator 会创建以下密钥：

p1-aws-cluster-theuser
p1-gcp-cluster-theuser

具有范围的数据库用户

The following example shows an AtlasDatabaseUser custom resource specification with spec.scopes set to the Google Cloud cluster only:

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
 name: my-database-user
spec:
 roles:
   - roleName: "readWriteAnyDatabase"
     databaseName: "admin"
 projectRef:
   name: my-project
 username: theuser
 passwordSecretRef:
   name: the-user-password
 scopes:
   - type: CLUSTER
     name: gcp-cluster

更新此资源后，Atlas Kubernetes Operator 将从中删除theuser aws-cluster。它还从 Kubernetes 集群中删除p1-aws-cluster-theuser密钥。

使用 X.509 身份验证的数据库用户

以下示例显示了采用X.509 身份验证的AtlasDatabaseUser自定义资源规范。

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-database-user
spec:
  username: CN=my-x509-authenticated-user,OU=organizationalunit,O=organization
  databaseName: "\$external"
  x509Type: "CUSTOMER"
  roles:
    - roleName: "readWriteAnyDatabase"
      databaseName: "admin"
  projectRef:
    name: my-project

具有OIDC身份验证的数据库用户

以下示例展示了使用OIDC的AtlasDatabaseUser自定义资源规范。

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-database-user
spec:
  roles:
    - roleName: "readWriteAnyDatabase"
      databaseName: "admin"
  projectRef:
    name: my-project
  username: my-oidc-group-id/my-idp-group-name
  oidcAuthType: IDP_GROUP

使用 AWS IAM 进行身份验证的数据库用户

以下示例显示了使用AmazonAtlasDatabaseUser Web ServicesAmazon Web Services IAM 的自定义资源规范。

apiVersion: atlas.mongodb.com/v1
kind: AtlasDatabaseUser
metadata:
  name: my-database-user
spec:
  username: arn:aws:iam::123456789012:user/johndoe
  databaseName: "$external"
  roles:
    - roleName: "readWriteAnyDatabase"
      databaseName: "admin"
  projectRef:
    name: my-project
 awsIamType: USER

参数