为以下每个组件生成一个 TLS 证书：
- 分片集群中的每个分片。确保将分片成员的每个Kubernetes Pod 的 SAN 添加到证书。
  
  在TLS证书中，每个分片 Pod 的SAN必须使用以下格式：
  <pod-name>.<metadata.name>-sh.<namespace>.svc.cluster.local
- 您的配置服务器。确保将托管配置服务器的每个 Kubernetes Pod 的SAN添加到证书。
  
  在TLS证书中，每个配置服务器Pod 的SAN必须使用以下格式：
  <pod-name>.<metadata.name>-cs.<namespace>.svc.cluster.local
- 您的 mongos 实例。确保将托管 mongos 的每个Kubernetes Pod 的 SAN 添加到证书。
  
  在 TLS 证书中，每个 mongos Pod 的 SAN 必须使用以下格式：
  <pod-name>.<metadata.name>-svc.<namespace>.svc.cluster.local
- 您项目的 MongoDB Agent。对于 MongoDB Agent 证书，请确保您满足以下要求：
  - TLS 证书中的公用名不为空。
  - 每个 TLS 证书中的组合组织和组织单位与副本集节点的 TLS 证书中的组织和组织单位不同。
您必须拥有CA证书和用于签署TLS证书的密钥。

重要

Kubernetes Operator 使用 kubernetes.io/tls secrets 来存储Ops Manager和MongoDB资源的 TLS 证书和私钥。从Kubernetes Operator 版本 1.17.0 开始， Kubernetes Operator 不支持存储为不透明密钥的连接 PEM 文件。

部署分片集群

将`kubectl` 配置为默认命名空间。

如果您尚未执行，请运行以下命令，执行所创建命名空间的所有 kubectl 命令。

注意

MongoDB Ops Manager如果要在多 Kubernetes 集群部署中部署MongoDB 资源：

将 context 设置为中央集群的名称，例如：kubectl config set context "$MDB_CENTRAL_CLUSTER_FULL_NAME"。
将--namespace设置为您用于多 Kubernetes 集群 MongoDB 部署的相同范围，例如： kubectl config --namespace "mongodb" 。

kubectl config set-context $(kubectl config current-context) --namespace=<metadata.namespace>

为您的分片的 TLS 证书创建密钥。

运行此 kubectl 命令以创建用于存储分片集群分片证书的新密钥：

kubectl -n mongodb create secret tls <prefix>-<metadata.name>-0-cert \
  --cert=<shard-0-tls-cert> \
  --key=<shard-0-tls-key>
kubectl -n mongodb create secret tls <prefix>-<metadata.name>-1-cert \
  --cert=<shard-1-tls-cert> \
  --key=<shard-1-tls-key>

如果您使用 HashiCorp Vault 作为密钥存储工具，则可以改为创建保管库密钥。

为您的配置服务器的 TLS 证书创建密钥。

运行该 kubectl 命令以创建用于存储分片集群配置服务器证书的新密钥：

kubectl -n mongodb create secret tls <prefix>-<metadata.name>-config-cert \
  --cert=<config-tls-cert> \
  --key=<config-tls-key>

如果您使用 HashiCorp Vault 作为密钥存储工具，则可以改为创建保管库密钥。

为您的 Mongo 服务器的 TLS 证书创建密钥。

运行此 kubectl 命令以创建用于存储分片集群mongos 证书的新密钥：

kubectl -n mongodb create secret tls <prefix>-<metadata.name>-mongos-cert \
  --cert=<mongos-tls-cert> \
  --key=<mongos-tls-key>

如果您使用 HashiCorp Vault 作为密钥存储工具，则可以改为创建保管库密钥。

为代理的 TLS 证书创建密钥。

运行 kubectl 命令可创建用于存储代理 TLS 证书的新Secret：

kubectl create secret tls <prefix>-<metadata.name>-agent-certs \
  --cert=<agent-tls-cert> \
  --key=<agent-tls-key>

如果您使用 HashiCorp Vault 作为密钥存储工具，则可以改为创建保管库密钥。

创建ConfigMap，将CA与部署链接起来。

运行此 kubectl 命令将 CA 链接到分片集群，并为 MongoDB资源指定必须始终命名为 ca-pem 的 CA 证书文件：

kubectl create configmap custom-ca --from-file=ca-pem=<your-custom-ca-file>

复制示例分片集群资源。

更改此 YAML文件的设置以匹配所需的分片集群配置。

更改设置，以匹配所需的分片集群配置。

1 ---
2 apiVersion: mongodb.com/v1
3 kind: MongoDB
4 metadata:
5   name: <my-sharded-cluster>
6 spec:
7   shardCount: 2
8   mongodsPerShardCount: 3
9   mongosCount: 2
10   configServerCount: 3
11   version: "8.0.0"
12   opsManager:
13     configMapRef:
14       name: <configMap.metadata.name>
15             # Must match metadata.name in ConfigMap file
16   credentials: <mycredentials>
17   type: ShardedCluster
18   persistent: true
19 ...

19   security:
20     tls:
21       ca: <custom-ca>
22     certsSecretPrefix: <prefix>
23 ...

粘贴复制的示例以创建新的分片集群资源。

打开您首选的文本编辑器，并将对象规范粘贴到新的文本文件中。

按以下方式配置上一步中突出显示的设置。

键	类型	说明	例子
`metadata.name`	字符串	此Kubernetes分片集群对象的标签。资源名称必须少于或等于 44 个字符。要学习；了解更多信息，请参阅有关名称的 `metadata.name` 和Kubernetes文档。	`myproject`
`spec.shardCount`	整型	要部署的分片数量。	`2`
`spec.mongodsPerShardCount`	整型	每个分片的分片节点数。	`3`
`spec.mongosCount`	整型	要部署的分片路由器数量。	`2`
`spec.configServerCount`	整型	配置服务器副本集的节点数。	`3`
`spec.version`	字符串	此分片集群应运行的 MongoDB 版本。 Community 版的格式应为 `X.Y.Z`，Enterprise 版的格式应为 `X.Y.Z-ent`。重要提示：确保选择兼容的MongoDB Server版本。兼容版本因MongoDB 数据库资源使用的基础映像而异。要了解有关 MongoDB 版本控制的更多信息，请参阅 MongoDB 手册中的 MongoDB 版本控制。	为获得最佳结果，请使用与Ops Manager版本兼容的最新可用企业MongoDB版本。
`spec.opsManager.configMapRef.name`	字符串	具有Ops Manager连接配置的 ConfigMap 的名称。 `spec.cloudManager.configMapRef.name` 设置是此设置的别名，可以用来代替它。此值必须与待创建的资源位于同一命名空间。重要提示：Kubernetes Operator 会跟踪该 ConfigMap 的任何更改并协调 `MongoDB` 资源的状态。	`<myproject>`
`spec.credentials`	字符串	您创建的 Secret 名称，其将作为 Ops Manager API 身份验证凭证，以便 Kubernetes Operator 与 Ops Manager 进行通信。持有凭证的Ops Manager Kubernetes Secret对象必须与要创建的资源位于同一命名空间中。重要提示：Kubernetes Operator 会跟踪该 Secret 的任何更改并协调 `MongoDB` 资源的状态。	`<mycredentials>`
`spec.type`	字符串	要创建的 `MongoDB` 资源的类型。	`ShardedCluster`
`spec.persistent`	字符串	可选。指示此 `MongoDB`资源是否应使用持久卷进行存储的标志。当`MongoDB`资源停止或重新启动时，不会删除持久卷。如果该值为 `true`，则以下值将设为 `16Gi` 的默认值： `spec.shardPodSpec.persistence.single` `spec.configSrvPodSpec.persistence.single` 要更改持久卷声明配置，请配置以下集合以满足部署要求：如果您希望为每个 Pod 有一个持久卷，请配置 `spec.shardPodSpec.persistence.single` 和 `spec.configSrvPodSpec.persistence.single` 集合。如果您希望为每个 Pod 的数据、日志和记录设置独立的持久卷，请配置以下集合：在 `spec.configSrvPodSpec.persistence.multiple` 集合中：— `.data` - `.journal` — `.logs` 在 `spec.shardPodSpec.persistence.multiple` 集合中：— `.data` - `.journal` — `.logs` 警告：授予容器写入持久卷的权限。 Kubernetes Operator 在 `securityContext` 中设置 `fsGroup = 2000`、`runAsUser = 2000` 和 `runAsNonRoot = true`。 Kubernetes Operator 将 `fsgroup` 设置为等于 `runAsUser`，以使在容器中运行主进程的用户可写入该卷。要学习；了解更多信息，请参阅Kubernetes文档中的为 Pod 或容器配置安全上下文以及相关讨论。如果重新部署资源无法解决持久卷的问题，联系MongoDB支持部门。如果您不使用持久卷，则在查看此部署的数据时，Disk Usage 和 Disk IOPS 图表将无法显示在 Deployment 页面上的 Processes标签页中，也无法显示在 Metrics 页面中。	`true`

使用自定义证书颁发机构 (CA) 为分片集群资源配置  TLS 设置。

要在您的部署中启用 TLS，请在您 Kubernetes 对象中配置以下设置：

键	类型	必要性	说明	例子
`spec.security` `.tls.ca`	字符串	必需	添加 ConfigMap 的名称，该名称存储用于签署您部署的 TLS 证书的自定义 CA。	`<custom-ca>`
`spec.security` `.certsSecretPrefix`	字符串	必需	添加 Secret 名称的 `<prefix>`，其需包含您 MongoDB 部署的 TLS 证书。示例，如果您将部署部署为 `my-deployment` 并将前缀设立为 `mdb`，则必须将客户端TLS 通信的 TLS 密钥命名为 `mdb-my-deployment-cert`。此外，您必须将用于内部集群身份验证（如果已启用）的 TLS 密钥命名为 `mdb-my-deployment-clusterfile`。	`devDb`

为分片集群部署添加任何其他可接受的设置。

您还可以将以下任何可选设置添加到对象分片集群部署的规范文件：

警告

如果Kubernetes集群具有默认cluster.local 以外的默认域，则必须设立spec.clusterDomain。如果既不使用默认，也不设立spec.clusterDomain 选项， Kubernetes Operator 可能无法按预期运行。

For config server

对于分片路由器

对于分片分点

以 `.yaml` 文件扩展名保存此文件。

启动分片集群部署。

调用以下 Kubernetes 命令以创建分片集群：

kubectl apply -f <sharded-cluster-conf>.yaml

运行此命令后查看日志。如果创建成功，您应看到类似于以下内容的消息：

2018-06-26T10:30:30.346Z INFO operator/shardedclusterkube.go:52 Created! {"sharded cluster": "my-sharded-cluster"}

跟踪分片集群部署的状态。

要检查 MongoDB 资源的状态，请使用以下命令：

kubectl get mdb <resource-name> -o yaml -w

设置 -w (观看) 标志后，当配置更改时，输出将立即刷新，直到状态阶段达到 Running 状态。要了解有关资源部署状态的详情，请参阅 Kubernetes Operator 故障排除。

在您使用 TLS 加密数据库资源后，可以提高以下认证安全性：

更新分片群集的 TLS 证书

使用以下步骤定期更新 TLS 证书：

将`kubectl` 配置为默认命名空间。

如果您尚未执行，请运行以下命令，执行所创建命名空间的所有 kubectl 命令。

注意

MongoDB Ops Manager如果要在多 Kubernetes 集群部署中部署MongoDB 资源：

将 context 设置为中央集群的名称，例如：kubectl config set context "$MDB_CENTRAL_CLUSTER_FULL_NAME"。
将--namespace设置为您用于多 Kubernetes 集群 MongoDB 部署的相同范围，例如： kubectl config --namespace "mongodb" 。

kubectl config set-context $(kubectl config current-context) --namespace=<metadata.namespace>

更新分片 TLS 证书的密钥。

运行该 kubectl 命令以更新用于存储分片集群分片证书的现有密钥：

kubectl -n mongodb create secret tls <prefix>-<metadata.name>-0-cert \
  --cert=<shard-0-tls-cert> \
  --key=<shard-0-tls-key> \
  --dry-run=client \
  -o yaml |
kubectl apply -f -
kubectl -n mongodb create secret tls <prefix>-<metadata.name>-1-cert \
  --cert=<shard-1-tls-cert> \
  --key=<shard-1-tls-key> \
  --dry-run=client \
  -o yaml |
kubectl apply -f -

更新配置服务器 TLS 证书的密钥。

运行此 kubectl 命令，以更新存储分片集群配置服务器证书的现有密钥：

kubectl -n mongodb create secret tls <prefix>-<metadata.name>-config-cert \
  --cert=<config-tls-cert> \
  --key=<config-tls-key> \
  --dry-run=client \
  -o yaml |
kubectl apply -f -

为mongos服务器的 TLS 证书续订密钥。

运行此 kubectl 命令以更新存储分片集群mongos 证书的现有密钥：

kubectl -n mongodb create secret tls <prefix>-<metadata.name>-mongos-cert \
  --cert=<mongos-tls-cert> \
  --key=<mongos-tls-key> \
  --dry-run=client \
  -o yaml |
kubectl apply -f -

将`kubectl` 配置为默认命名空间。

如果您尚未执行，请运行以下命令，执行所创建命名空间的所有 kubectl 命令。

注意

MongoDB Ops Manager如果要在多 Kubernetes 集群部署中部署MongoDB 资源：

将 context 设置为中央集群的名称，例如：kubectl config set context "$MDB_CENTRAL_CLUSTER_FULL_NAME"。
将--namespace设置为您用于多 Kubernetes 集群 MongoDB 部署的相同范围，例如： kubectl config --namespace "mongodb" 。

kubectl config set-context $(kubectl config current-context) --namespace=<metadata.namespace>

复制示例分片集群资源。

更改此 YAML文件的设置以匹配所需的分片集群配置。

这是一个 YAML文件，您可以修改该文件以满足所需的配置。更改设置以匹配所需的分片集群配置。

1 ---
2 apiVersion: mongodb.com/v1
3 kind: MongoDB
4 metadata:
5   name: <my-sharded-cluster>
6 spec:
7   shardCount: 2
8   mongodsPerShardCount: 3
9   mongosCount: 2
10   configServerCount: 3
11   version: "8.0.0"
12   opsManager:
13     configMapRef:
14       name: <configMap.metadata.name>
15             # Must match metadata.name in ConfigMap file
16   credentials: <mycredentials>
17   type: ShardedCluster
18   persistent: true
19 ...

粘贴复制的示例以创建新的分片集群资源。

打开您首选的文本编辑器，并将对象规范粘贴到新的文本文件中。

按以下方式配置上一步中突出显示的设置。

键	类型	说明	例子
`metadata.name`	字符串	此Kubernetes分片集群对象的标签。资源名称必须少于或等于 44 个字符。要学习；了解更多信息，请参阅有关名称的 `metadata.name` 和Kubernetes文档。	`myproject`
`spec.shardCount`	整型	要部署的分片数量。	`2`
`spec.mongodsPerShardCount`	整型	每个分片的分片节点数。	`3`
`spec.mongosCount`	整型	要部署的分片路由器数量。	`2`
`spec.configServerCount`	整型	配置服务器副本集的节点数。	`3`
`spec.version`	字符串	此分片集群应运行的 MongoDB 版本。 Community 版的格式应为 `X.Y.Z`，Enterprise 版的格式应为 `X.Y.Z-ent`。重要提示：确保选择兼容的MongoDB Server版本。兼容版本因MongoDB 数据库资源使用的基础映像而异。要了解有关 MongoDB 版本控制的更多信息，请参阅 MongoDB 手册中的 MongoDB 版本控制。	为获得最佳结果，请使用与Ops Manager版本兼容的最新可用企业MongoDB版本。
`spec.opsManager.configMapRef.name`	字符串	具有Ops Manager连接配置的 ConfigMap 的名称。 `spec.cloudManager.configMapRef.name` 设置是此设置的别名，可以用来代替它。此值必须与待创建的资源位于同一命名空间。重要提示：Kubernetes Operator 会跟踪该 ConfigMap 的任何更改并协调 `MongoDB` 资源的状态。	`<myproject>`
`spec.credentials`	字符串	您创建的 Secret 名称，其将作为 Ops Manager API 身份验证凭证，以便 Kubernetes Operator 与 Ops Manager 进行通信。持有凭证的Ops Manager Kubernetes Secret对象必须与要创建的资源位于同一命名空间中。重要提示：Kubernetes Operator 会跟踪该 Secret 的任何更改并协调 `MongoDB` 资源的状态。	`<mycredentials>`
`spec.type`	字符串	要创建的 `MongoDB` 资源的类型。	`ShardedCluster`
`spec.persistent`	字符串	可选。指示此 `MongoDB`资源是否应使用持久卷进行存储的标志。当`MongoDB`资源停止或重新启动时，不会删除持久卷。如果该值为 `true`，则以下值将设为 `16Gi` 的默认值： `spec.shardPodSpec.persistence.single` `spec.configSrvPodSpec.persistence.single` 要更改持久卷声明配置，请配置以下集合以满足部署要求：如果您希望为每个 Pod 有一个持久卷，请配置 `spec.shardPodSpec.persistence.single` 和 `spec.configSrvPodSpec.persistence.single` 集合。如果您希望为每个 Pod 的数据、日志和记录设置独立的持久卷，请配置以下集合：在 `spec.configSrvPodSpec.persistence.multiple` 集合中：— `.data` - `.journal` — `.logs` 在 `spec.shardPodSpec.persistence.multiple` 集合中：— `.data` - `.journal` — `.logs` 警告：授予容器写入持久卷的权限。 Kubernetes Operator 在 `securityContext` 中设置 `fsGroup = 2000`、`runAsUser = 2000` 和 `runAsNonRoot = true`。 Kubernetes Operator 将 `fsgroup` 设置为等于 `runAsUser`，以使在容器中运行主进程的用户可写入该卷。要学习；了解更多信息，请参阅Kubernetes文档中的为 Pod 或容器配置安全上下文以及相关讨论。如果重新部署资源无法解决持久卷的问题，联系MongoDB支持部门。如果您不使用持久卷，则在查看此部署的数据时，Disk Usage 和 Disk IOPS 图表将无法显示在 Deployment 页面上的 Processes标签页中，也无法显示在 Metrics 页面中。	`true`

为分片集群部署添加任何其他可接受的设置。

您还可以将以下任何可选设置添加到对象分片集群部署的规范文件：

警告

For config server

对于分片路由器

对于分片分点

以 `.yaml` 文件扩展名保存此文件。

启动分片集群部署。

调用以下 Kubernetes 命令以创建分片集群：

kubectl apply -f <sharded-cluster-conf>.yaml

运行此命令后查看日志。如果创建成功，您应看到类似于以下内容的消息：

2018-06-26T10:30:30.346Z INFO operator/shardedclusterkube.go:52 Created! {"sharded cluster": "my-sharded-cluster"}

跟踪分片集群部署的状态。

要检查 MongoDB 资源的状态，请使用以下命令：

kubectl get mdb <resource-name> -o yaml -w

1	---
2	apiVersion: mongodb.com/v1
3	kind: MongoDB
4	metadata:
5	name: <my-sharded-cluster>
6	spec:
7	shardCount: 2
8	mongodsPerShardCount: 3
9	mongosCount: 2
10	configServerCount: 3
11	version: "8.0.0"
12	opsManager:
13	configMapRef:
14	name: <configMap.metadata.name>
15	# Must match metadata.name in ConfigMap file
16	credentials: <mycredentials>
17	type: ShardedCluster
18	persistent: true
19	...

19	security:
20	tls:
21	ca: <custom-ca>
22	certsSecretPrefix: <prefix>
23	...

部署分片集群

Considerations

不要在 Kubernetes 内部和外部部署监控代理

选择是否加密连接

先决条件