MongoDBSearch 资源规范

数据源设置

spec.source

类型：对象

描述 mongot 的MongoDB源的设置。源可以是副本集或分片集群。在以下情况下需要此设置：

• MongoDB 是外部的

• MongoDB 的名称不同于 MongoDBSearch

MongoDBSearch 资源必须始终连接到一个 MongoDB 部署。如果使用 Kubernetes 操作符和 MongoDB 或 MongoDBCommunity CRD 进行部署，并且 spec.source 为空，Kubernetes 操作符将根据 metadata.name 使用以下方式在 Kubernetes 中查找数据库：

• 在同一命名空间中查找与 MongoDBSearch 中为 metadata.name设立的名称相同的 MongoDB 或 MongoDBCommunity 资源。

• 从 <MongoDBSearch.metadata.name>-<username>-password 密钥中查找 mongot 用户的密码密钥，对于默认用户名，可产生 <MongoDBSearch.metadata.name>-search-sync-source-password。

spec.source.mongodbResourceRef.name

类型：字符串

要与此 MongoDB Search 和 向量搜索 资源关联的 MongoDB 或 MongoDBCommunity 资源的名称。Kubernetes 操作符 支持副本集和分片集群。您不能有多于一个引用相同 MongoDB 或 MongoDBCommunity 资源的 MongoDBSearch 资源。

仅当您的 MongoDB 或 MongoDBCommunity 资源部署在同一 Kubernetes 集群中且与 MongoDBSearch 资源位于同一命名空间时，才使用此字段。如果您的数据库部署在 Kubernetes 外部或位于不同的命名空间中，请使用 spec.source.external 配置与数据库的连接。如果您同时设置了这两个字段，则 spec.source.external 会优先。

如果省略，Kubernetes 操作符 将查找与此 MongoDBSearch 资源同名的 MongoDB 或 MongoDBCommunity 资源。

spec.source.mongodbResourceRef.namespace

类型：字符串

spec.source.mongodbResourceRef.name 引用的 MongoDB 或 MongoDBCommunity 资源的命名空间。Kubernetes 操作符当前忽略此字段，并始终使用 MongoDBSearch 资源的命名空间。不支持跨命名空间引用。如果您的数据库在不同的命名空间中，请使用 spec.source.external。

spec.source.username

类型：字符串

Username to use to authenticate mongot with mongod. The specified user must have the searchCoordinator role. If omitted, the Kubernetes Operator assumes the username is search-sync-source.

spec.source.passwordSecretRef.name

类型：字符串

包含密码的秘钥名称，mongot 必须使用该密码与 mongod 进行身份验证。如果省略，则默认为 <MongoDBSearch.metadata.name>-<username>-password，其中 <username> 是 spec.source.username 的值。对于默认用户名 search-sync-source，这会产生 <MongoDBSearch.metadata.name>-search-sync-source-password。

spec.source.passwordSecretRef.key

类型：字符串

将密码值存储在密钥中所使用的密钥。如果省略，则默认为 password。

x509 身份验证设置

spec.source.x509

类型：对象

为 mongot同步源连接配置 x509客户端证书身份验证。如果设立此字段，则 mongot 使用 x509 而不是用户名和密码对MongoDB进行身份验证。

该字段与 spec.source.passwordSecretRef、spec.source.username 和 spec.source.tls 互斥。如果您同时指定 x509 和密码身份验证，Kubernetes 操作符将拒绝配置。

spec.source.x509.clientCertificateSecretRef

类型：对象

包含 x509客户端证书和密钥的密钥，用于对MongoDB同步源进行身份验证。密钥必须包含以下键：

• tls.crt — 客户端证书

• tls.key — 私钥

如果私钥使用密码加密，请将密码存储在单独的 Secret 中，并使用 spec.source.x509.keyFilePasswordSecretRef 引用它。

如果设立spec.source.x509，则必须指定此字段。

spec.source.x509.keyFilePasswordSecretRef

类型：对象

包含密码的 Secret，用于解密 spec.source.x509.clientCertificateSecretRef 中经密码加密的私钥。Secret 必须在 keyFilePassword 键下包含密码。如果私钥未加密，请忽略此字段。

SCRAM 客户端证书设置

spec.source.tls

类型：对象

如果使用 SCRAM（用户名和密码）身份验证，则为 mongot 同步源连接配置 TLS 客户端证书。如果设置此字段，mongot 将在与源 MongoDB 部署的 TLS 握手期间呈现客户端证书（相互 TLS 传输）。mongot 仍使用用户名和密码进行身份验证。

仅将此字段用于 SCRAM 身份验证 (spec.source.passwordSecretRef)。此字段与 spec.source.x509 互斥。如果您希望客户端证书本身用作身份验证凭证，请使用 spec.source.x509。

spec.source.tls.clientCertificateSecretRef

类型：对象

包含 TLS 客户端证书和密钥的 Secret，mongot 在与源 MongoDB 部署进行 TLS 握手期间会呈现该 Secret。Secret 必须包含以下密钥：

• tls.crt — 客户端证书

• tls.key — 私钥

如果设立spec.source.tls，则必须指定此字段。

spec.source.tls.keyFilePasswordSecretRef

类型：对象

包含密码的 Secret，用于解密 spec.source.tls.clientCertificateSecretRef 中经密码加密的私钥。Secret 必须在 keyFilePassword 键下包含密码。如果私钥未加密，请忽略此字段。

外部 MongoDB 设置

spec.source.external

类型：对象

描述外部数据源的设置。仅当您想连接到未使用 Kubernetes 操作符 部署的外部 MongoDB 时，才需要指定这些设置。如果您指定这些设置，它们将优先于 spec.source.mongodbResourceRef。

spec.source.external.hostAndPorts

类型：字符串数组

外部副本集的主机名称和端口列表。此字段与 spec.source.external.shardedCluster 互斥。使用 hostAndPorts 作为副本集源，使用 shardedCluster 作为分片集群源。

spec.source.external.shardedCluster

类型：对象

声明外分片的MongoDB 集群作为 mongot 的数据源。包含 mongos 路由器和每分片副本集节点的配置。

spec.source.external.shardedCluster.router.hosts

类型：字符串数组

host:port 格式的 mongos 路由器实例的终结点列表。所有 mongot 实例都连接到这些路由器。至少指定一个条目。

spec.source.external.shardedCluster.shards

类型：对象数组

外部 MongoDB 集群中的所有分片列表。每个条目都描述一个分片的副本集。Kubernetes 操作符 为每个分片创建一个 mongot StatefulSet。至少指定一个分片条目。

spec.source.external.shardedCluster.shards[*].shardName

类型：字符串

分片的逻辑名称。名称在所有分片中必须是唯一的，并且必须符合 Kubernetes DNS 标签名称规则 (RFC 1123)：小写字母数字字符和连字符 (-)，以字母数字字符开头和结尾，最大长度为 63 个字符。不允许使用句号 (.) 和下划线 (_)。

Kubernetes 操作符 将 metadata.name、集群索引和 shardName 组合到它创建的 Kubernetes 资源名称中，并验证每个生成的名称都符合 Kubernetes DNS 对标签的 63 个字符和对子域名称的 253 个字符的限制。使 shardName 足够短以适应这些限制。

spec.source.external.shardedCluster.shards[*].hosts

类型：字符串数组

此分片的 mongod 副本集节点的终结点列表，采用 host:port 格式。至少指定一个条目。每个分片都有自己的 mongot 实例组，这些实例仅从该分片的副本集获取数据。

spec.source.external.keyfileSecretRef

类型：对象

包含 mongod 密钥文件的秘密，mongot 用于连接到外部 MongoDB 部署。name 字段是必填字段。key 字段是可选字段。

spec.source.external.tls.ca.name

类型：字符串

包含颁发 mongod 节点使用的 TLS 证书的证书颁发机构可信链的 ConfigMap 名称。您必须在此 ConfigMap 的 ca.crt 密钥下指定证书（或证书链）。

集群部署设置

以下设置描述了所需 spec.clusters 数组的每个条目。

spec.clusters

类型：对象数组

适用于 MongoDBSearch 资源的每个 Kubernetes 集群的部署配置。此字段为必填字段，必须包含至少一个条目，最多包含 50 个条目。所有大小调整和放置设置，例如 replicas、loadBalancer、resourceRequirements、persistence、jvmFlags 和 statefulSet，都存在于 clusters 条目中。这些设置没有顶级等效项。

对于单集群部署，请指定一个条目。您可以省略 name 和 index。

对于多集群部署，请为运行 mongot 节点的每个 Kubernetes 集群指定一个条目。如果指定多个条目，则应用以下规则：

• name 每个条目都必须是独一无二的。

• index 每个条目都必须是独一无二的。

• MongoDB 源必须是外部的 (spec.source.external)。多集群部署不支持操作符管理的 MongoDB 源。

• 每个条目都必须配置操作符管理的负载均衡器 (loadBalancer.managed)。多集群部署不支持非管理负载均衡器。

Kubernetes 操作符通过 CRD 验证规则和协调时验证来实施这些规则。

spec.clusters[].name

类型：字符串

此条目的 Kubernetes 集群名称，最大长度为 253 个字符。对于单集群部署，您可以省略此字段。

如果 spec.clusters 包含多个条目，则需要 name，必须在条目之间独一无二，并且在创建资源后不可更改。

spec.clusters[].index

类型：整型

此条目的 Kubernetes 集群的稳定整数标识符。该值必须在 0 和 999 之间，并且在所有条目中必须是唯一的。如果 spec.clusters 包含多个条目，则每个条目都需要 index。

Kubernetes 操作符在为此集群入口创建的 Kubernetes 资源名称中包含索引，例如 StatefulSets 的 {name}-search-{index}、Services 的 {name}-search-{index}-svc 和 ConfigMaps 的 {name}-search-{index}-config。对于分片集群源，名称还包含分片名称，例如 示例 {name}-search-{index}-{shardName} 和 {name}-search-{index}-{shardName}-svc。

警告

请勿更改现有条目的 index。由于索引是资源名称的一部分，因此更改索引会导致 Kubernetes 操作符在新索引下创建新资源，并使旧索引下的资源成为孤立资源。这适用于每个带索引的资源，包括代理服务 ({name}-search-{index}[-{shardName}]-proxy-svc)、Envoy 部署和 ConfigMap ({name}-search-lb-{index})、负载均衡器证书秘密信息和指标转发器资源 ({name}-search-metrics-forwarder-{index})。

对于单集群部署，您可以忽略此字段，它默认为 0。但是，如果每个节点 Kubernetes 集群运行其自己的 Kubernetes 操作符 实例，请在每个集群的 MongoDBSearch 资源中将 index 显式设置为不同的值。不同索引可防止生成的主机名称和资源名称在集群之间发生冲突。

安全设置

spec.security

类型：对象

mongot 侦听服务器的安全设置。

spec.security.tls

类型：对象

TLS设置适用于 mongot。如果省略，mongot 将不会对传入连接使用 TLS。

如果将托管负载均衡器与分片集群源一起使用，则此字段为必填字段。Envoy 代理使用 SNI 将流量路由到正确的分片，而 SNI 取决于 TLS ClientHello。如果在此配置中省略 spec.security.tls，则 Kubernetes 操作符将无法协调。

spec.security.tls.certificateKeySecretRef.name

类型：字符串

自版本 1.8.0 起已弃用：请改用 spec.security.tls.certsSecretPrefix。

包含私钥 (tls.key) 和证书 (tls.crt) 的同一命名空间中的 TLS 秘钥的名称。Kubernetes 操作符 仍支持将此字段用于副本集部署，以实现向后兼容。对于分片集群部署，Kubernetes 操作符 在验证期间拒绝此字段，因为单个秘钥引用无法覆盖每个分片的证书。

spec.security.tls.certsSecretPrefix

类型：字符串

Kubernetes Operator 用于通过命名规范推导 TLS 秘密名称的前缀。如果设置此字段，Kubernetes 操作符 将按照以下模式查找秘密：

组件	密钥名称模式
副本集的 mongot服务器证书	{certsSecretPrefix}-{name}-search-cert
分片 mongot 证书（每个集群和分片）	{certsSecretPrefix}-{name}-search-{clusterIndex}-{shardName}-cert
托管负载均衡器服务器证书（每集群，所有拓扑结构）	{certsSecretPrefix}-{name}-search-lb-{clusterIndex}-cert
托管负载负载均衡器客户端证书	{certsSecretPrefix}-{name}-search-lb-{clusterIndex}-client-cert

Kubernetes 操作符 为所有拓扑结构使用每个集群一个托管的负载均衡器服务器证书。对于分片集群，此证书的 SAN 必须包括 externalHostname 和 routerHostname 中的所有扩展分片主机名称。

Kubernetes 操作符按以下顺序解析 mongot 服务器证书秘密名称：

1. 如果设置 spec.security.tls.certificateKeySecretRef.name，Kubernetes 操作符将使用该名称。

2. 如果设置 certsSecretPrefix，Kubernetes 操作符 将使用上述表中的命名模式。

3. 如果您未设置任何字段，Kubernetes 操作符将使用副本集部署的默认名称 {name}-search-cert，或分片部署的默认每分片模式 {name}-search-{clusterIndex}-{shardName}-cert。

如果您未设置 certsSecretPrefix，则托管的负载均衡器证书也使用默认名称：Kubernetes Operator 为服务器证书挂载 {name}-search-lb-{clusterIndex}-cert，为客户端证书挂载 {name}-search-lb-{clusterIndex}-client-cert。

spec.security.tls.keyFilePasswordSecretRef

类型：对象

在 TLS 证书秘密中包含解密密码加密服务器私钥的密码的秘密。Secret 必须包含 keyFilePassword 密钥下的密码。如果服务器私钥未加密，请忽略此字段。

LoggingSettings

spec.logLevel

类型：字符串

mongot 日志的详细程度。值可以是以下之一：

• TRACE

• DEBUG

• INFO

• WARN

• ERROR

如果省略，则默认值为 INFO。

指标设置

spec.observability.prometheus

类型：对象

针对 Prometheus 指标终结点的配置，在 mongot 中。如果您忽略此字段，Kubernetes 操作符 将在默认端口 9946 上启用指标终结点。

spec.observability.prometheus.mode

类型：字符串

在 mongot 中启用或禁用 Prometheus 指标终结点。值可以是 enabled 或 disabled。如果省略，值默认为 enabled。

spec.observability.prometheus.port

类型：整型

启用Prometheus指标终结点的端口。默认情况下，在端口 9946 上启用 Prometheus 指标终结点。

spec.observability.metricsForwarder

类型：对象

指标转发器的配置，这是由 Kubernetes 操作符创建的一个部署，用于抓取 mongot Prometheus 指标并将其转发给 MongoDB Ops Manager。

spec.observability.metricsForwarder.mode

类型：字符串

Kubernetes 操作符 是否创建指标转发器。值可以是以下值之一：

• auto — Kubernetes Operator 为操作符管理的 MongoDB (Ops Manager 支持)源创建转发器，并且仅在设置 spec.observability.metricsForwarder.opsManager 时为外部源创建转发器。对于 MongoDBCommunity 源，Kubernetes 操作符 不会创建转发器。

• enabled — Kubernetes Operator 始终创建转发器。如果源是 MongoDBCommunity 资源，则 Kubernetes 操作符 会报错，因为 MongoDBCommunity 源不支持转发器。

• disabled — Kubernetes Operator 从不创建转发器。

如果省略，则默认值为 auto。

enabled 和 auto 模式要求启用 Prometheus 终结点 (spec.observability.prometheus)。如果您禁用终结点，Kubernetes 操作符将报告 Invalid 指标转发器状态。

spec.observability.metricsForwarder.resourceRequirements

类型：core/v1/ResourceRequirements

指标转发器容器可以请求和限制的 CPU 和内存。如果省略，Kubernetes 操作符将使用 cpu: 100m 和 memory: 128Mi 的请求，以及 cpu: 250m 和 memory: 256Mi 的限制。

spec.observability.metricsForwarder.deployment

类型：对象

Kubernetes 操作符合并到操作符创建的指标转发器部署中的覆盖。此对象包含带有 labels 和 annotations 的 metadata 字段，以及带有 apps/v1/DeploymentSpec 对象的 spec 字段。

spec.observability.metricsForwarder.opsManager

类型：对象

指标转发器发送指标至的 MongoDB Ops Manager 项目和凭证。如果省略，Kubernetes 操作符将从源 MongoDB 资源的连接配置中获取项目和凭证。请为外部 MongoDB 源设置此字段，在不存在源 MongoDB 资源的情况下使用。

如果设置此字段，则必须同时设置 agentCredentials.name （包含 Ops Manager 代理 API 密钥的 Secret）和 projectConfigMapRef.name （包含 Ops Manager 项目配置的 ConfigMap）。

自动嵌入设置

spec.autoEmbedding

类型：对象

集合中文本数据自动嵌入的配置。

spec.autoEmbedding.embeddingModelAPIKeySecret.name

类型：字符串

包含嵌入模型 API 密钥的秘密名称，mongot 必须使用该密钥在索引和查询时生成嵌入。Secret 必须在 indexing-key 密钥下包含索引时间密钥，并在 query-key 密钥下包含查询时间密钥。

仅当 spec.autoEmbedding.providerEndpoint 指向操作符管理的自托管 Voyage AI 嵌入服务时，您才可以省略 embeddingModelAPIKeySecret。否则，Kubernetes 操作符需要它。

spec.autoEmbedding.providerEndpoint

类型：字符串

用于生成嵌入的嵌入模型终结点 URL。

功能标志设置

spec.featureFlags

类型：对象

mongot 的功能标志。如果将标志设置为 true，则 Kubernetes Operator 会将其渲染到 mongot 配置中。如果您省略 featureFlags 对象或单个标志，则应用该标志的模式默认值（enableOverloadRetrySignal 的 true）。

spec.featureFlags.enableOverloadRetrySignal

类型：布尔值

启用 mongot 超负载重试信号。如果启用此标志，mongot 会通过 gRPC RESOURCE_EXHAUSTED 响应向上游代理（如操作符管理的 Envoy 负载均衡器）发送负载分流信号。代理之后会在另一个 mongot 实例上重试该请求。

如果省略，则默认值为 true。

其他设置

spec.version

类型：字符串

mongodb-search Docker 图像的版本。如果省略，Kubernetes 操作符 会使用其包含的默认 MongoDB Search 版本。您可以显式设置版本，以防止升级 Kubernetes 操作符 时自动升级。