对于 AI 代理：可在 https://www.mongodb.com/zh-cn/docs/llms.txt 获取文档索引—通过在任何 URL 路径后添加 .md 可获取所有页面的 Markdown 版本。

部署 Ops Manager 资源

您可以使用 Kubernetes 操作符将 Ops Manager 作为资源部署在 Kubernetes container中。

Considerations

以下注意事项适用：

加密连接

配置 Ops Manager 部署时，必须选择是通过HTTPS还是HTTP运行连接。

以下HTTPS过程：

  • 建立与 Ops Manager 应用程序之间的TLS加密连接。

  • 在应用程序数据库的副本集成员之间建立TLS加密连接。

  • TLS 加密需要有效证书。

以下HTTP过程：

  • 不对与 Ops Manager 应用程序之间的连接进行加密。

  • 不加密应用程序数据库副本集成员之间的连接。

  • 设置要求较少。

通过HTTPS运行时， Ops Manager 默认在端口 8443 上运行。

根据您是否要使用TLS加密 Ops Manager 和应用程序数据库连接，选择相应的标签页。

先决条件

  • 完成先决条件。

  • 阅读注意事项。

  • 为应用程序数据库的 副本集 创建一个 TLS 证书。

    此TLS证书需要以下属性：

    DNS 名称

    确保为托管应用程序数据库副本集节点的每个 Pod 添加 SAN 或主题名称。每个 pod 的 SAN 必须使用以下格式：

    <opsmgr-metadata.name>-db-<index>.<opsmgr-metadata.name>-db-svc.<namespace>.svc.cluster.local

    密钥用法

    Ensure that the TLS certificates include the following key-usages (5280):

    • "服务器 auth"

    • "client auth"

重要

Kubernetes 操作符使用 kubernetes.io/tls用于存储 MongoDB Ops Manager 和 MongoDB 资源的 TLS 证书和私钥的秘密。从 Kubernetes1 17操作符版本..0 开始，Kubernetes 操作符不支持作为 不透明的秘密 存储的合并的 PEM 文件。

步骤

此过程适用于在单个 Kubernetes 集群中部署 MongoDB Ops Manager 实例，以及在多集群部署中将 MongoDB Ops Manager 部署到中央集群。如果您想在多个 Kubernetes 集群上部署多个 MongoDB Ops Manager 实例，请参阅在多个 Kubernetes 集群上部署 MongoDB Ops Manager 资源。

请按照以下步骤部署 Ops Manager 资源以通过HTTPS运行，并使用TLS保护应用程序数据库。

1

将kubectl 配置为默认命名空间。

如果您尚未执行，请运行以下命令，执行所创建命名空间的所有 kubectl 命令。

注意

MongoDB Ops Manager如果要在多 Kubernetes 集群 部署中部署MongoDB 资源：

  • 将 context 设置为中心集群的名称，例如：kubectl config set context "$MDB_CENTRAL_CLUSTER_FULL_NAME"。

  • 将--namespace设置为您用于多 Kubernetes 集群 MongoDB 部署的相同范围，例如： kubectl config --namespace "mongodb" 。

kubectl config set-context $(kubectl config current-context) --namespace=<metadata.namespace>
2

为证书创建密钥。

如果您使用 HashiCorp Vault 作为您的 Secret 存储工具，则可以创建 Vault Secret。

要了解有关 Secret 存储的选项，请参阅配置 Secret 存储。

  1. 获得 TLS 证书和私钥后，运行以下命令以创建 MongoDB Ops Manager密钥 存储 的 TLS 证书：

    kubectl create secret tls <prefix>-<metadata.name>-cert \  --cert=<om-tls-cert> \  --key=<om-tls-key>

  2. 运行以下命令以创建新 密钥 存储应用程序数据库的 TLS 证书：

    kubectl create secret tls <prefix>-<metadata.name>-db-cert \  --cert=<appdb-tls-cert> \  --key=<appdb-tls-key>
3

为自定义CA证书添加其他证书。

如果您的MongoDB Ops Manager TLS 证书由自定义 CA 签名，则该 CA 证书还必须包含允许MongoDB Ops Manager备份守护程序从互联网下载MongoDB二进制文件的其他证书。要创建 TLS 证书，请创建 ConfigMap 来保存 CA 证书：

重要

Kubernetes 操作符要求 Ops Manager 证书在 ConfigMap 中命名为mms-ca.crt 。

  1. 从 downloads.mongodb.com 获取 Ops Manager 的完整 `TLS` 证书链。以下 openssl 命令将链中的证书输出到当前工作目录，格式为 .crt：

    openssl s_client -showcerts -verify 2 \-connect downloads.mongodb.com:443 -servername downloads.mongodb.com < /dev/null \| awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="cert"a".crt"; print >out}'

  2. 将您用于 MongoDB Ops Manager 的 CA 证书文件与您在上一个步骤中获取的来自 downloads.mongodb.com 的整个 TLS 证书链连接：

    cat <custom_ca_cert.pem> cert2.crt cert3.crt cert4.crt  >> mms-ca.crt

    注意

    • 将占位符 <custom_ca_cert.pem> 替换为您的自定义 CA 证书 PEM文件。

    • 请勿包含 cert1.crt文件，因为不应包含来自MongoDB的服务器证书。

  3. 为MongoDB Ops Manager创建 ConfigMap：

    kubectl create configmap om-http-cert-ca --from-file="mms-ca.crt"
4

MongoDB Ops ManagerKubernetes复制以下MongoDB Ops Manager Kubernetes对象示例之一。

更改设置以匹配您的 Ops Manager 和应用程序数据库配置。

单个Kubernetes集群：

---apiVersion: mongodb.com/v1kind: MongoDBOpsManagermetadata:  name: <myopsmanager>spec:  replicas: 1  version: <opsmanagerversion>  adminCredentials: <adminusercredentials> # Should match metadata.name                                           # in the Kubernetes secret                                           # for the admin user
  externalConnectivity:    type: LoadBalancer  security:      certsSecretPrefix: <prefix> # Required. Text to prefix                                   # the name of the secret that contains                                  # Ops Manager's TLS certificate.      tls:        ca: "om-http-cert-ca"  # Optional. Name of the ConfigMap file                               # containing the certificate authority that                               # signs the certificates used by the Ops                               # Manager custom resource.
  applicationDatabase:    topology: SingleCluster    members: 3    version: "8.0.0-ubi8"    security:      certsSecretPrefix: <prefix> # Required. Text to prefix to the                                   # name of the secret that contains the Application                                  # Database's TLS certificate. Name the secret                                   # <prefix>-<metadata.name>-db-cert.      tls:        ca: "appdb-ca" # Optional, unless enabling TLS for |mms|.                        # Name of the ConfigMap file                       # containing the certicate authority that                       # signs the certificates used by the                       # application database.
...

Multi-Kubernetes Cluster:

---apiVersion: mongodb.com/v1kind: MongoDBOpsManagermetadata:  name: <myopsmanager>spec:  replicas: 1  version: <opsmanagerversion>  adminCredentials: <adminusercredentials> # Should match metadata.name                                           # in the Kubernetes secret                                           # for the admin user
  externalConnectivity:    type: LoadBalancer  security:      certsSecretPrefix: <prefix> # Required. Text to prefix                                   # the name of the secret that contains                                  # Ops Manager's TLS certificate.      tls:        ca: "om-http-cert-ca"  # Optional. Name of the ConfigMap file                               # containing the certificate authority that                               # signs the certificates used by the Ops                               # Manager custom resource.
  applicationDatabase:    topology: MultiCluster    clusterSpecList:    - clusterName: cluster1.example.com      members: 4    - clusterName: cluster2.example.com      members: 3    - clusterName: cluster3.example.com      members: 2    version: "8.0.0-ubi8"    security:      certsSecretPrefix: <prefix> # Required. Text to prefix to the                                   # name of the secret that contains the Application                                  # Database's TLS certificate. Name the secret                                   # <prefix>-<metadata.name>-db-cert.      tls:        ca: "appdb-ca" # Optional, unless enabling TLS for |mms|.                        # Name of the ConfigMap file                       # containing the certicate authority that                       # signs the certificates used by the                       # application database.
...
5

打开您的首选文本编辑器，并将对象规范粘贴到新的文本文件中。

6

配置特定于您的部署的设置。

键
类型
说明
例子

字符串

此Kubernetes MongoDB Ops Manager对象的名称。

资源名称必须少于或等于 44 个字符。

metadata.name另请参阅有关名称的 和Kubernetes文档。

om

数字

要并行运行的 Ops Manager 实例的数量。

最小有效值为1 。 如果您在spec.topology设置中指定MultiCluster ，则此字段将被忽略。

1

字符串

要安装的 Ops Manager 版本。

格式应为 XYZ 。要查看可用的MongoDB Ops Manager版本，请查看容器注册表。

8.0.0

字符串

您为MongoDB Ops Manager管理员用户创建的密钥的名称。配置密钥以使用与MongoDB Ops Manager资源相同的命名空间。

om-admin-secret

spec
.security
.certsSecretPrefix

字符串

必需。

包含 Ops Manager TLS证书的密钥名称前缀的文本。

om-prod

spec
.security
.tls
.ca

字符串

您创建的 配置映射 的名称，用于验证使用自定义 CA 签名的 MongoDB Ops Manager TLS 证书。如果使用自定义 CA 签署了 MongoDB Ops Manager TLS 证书，则该字段是必填项。

om-http-cert-ca

spec
.externalConnectivity
.type

字符串

在Kubernetes之外公开MongoDB Ops Manager 的Kubernetes服务 ServiceType。如果您不希望Kubernetes Operator 创建Kubernetes服务以将外部流量路由到MongoDB Ops Manager应用程序，请排除 spec.externalConnectivity 设置及其子设置。

LoadBalancer

spec
.applicationDatabase
.members

整型

Ops Manager Application Database副本集的成员数。

3

spec
.applicationDatabase
.version

字符串

必需。

MongoDBOps Manager Application Database应运行的 版本。

对于Enterprise 版，格式应为 X.Y.Z-ubi8；对于MongoDB Community Edition ，格式应为 X.Y.Z。 请勿将 -ubi8标签后缀添加到MongoDB Community Edition映像，因为Kubernetes Operator 会自动添加标签后缀。

重要提示：确保选择兼容的MongoDB Server版本。 兼容版本因MongoDB 数据库资源使用的基础映像而异。

要了解有关 MongoDB 版本控制的更多信息，请参阅 MongoDB 手册中的 MongoDB 版本控制。

为获得最佳结果，请使用与您的MongoDB Ops Manager版本 兼容 的 最新可用企业MongoDB版本 。

spec
.applicationDatabase
.topology

字符串

可选。

应用程序数据库的 Kubernetes 部署类型。 如果省略，则默认值为SingleCluster 。

如果您指定MultiCluster，Kubernetes 操作符 将忽略您为spec.applicationDatabase.members字段设置的值（如果已指定）。相反，您必须指定 clusterSpecList，并在其中包含 clusterName 的每个选定 Kubernetes 节点集群（您要在其上部署应用程序数据库），以及每个 Kubernetes 集群中 members（MongoDB 节点）的数量。

您无法通过修改 CRD 中的clusterSpecList 和 topology设置将单集群MongoDB Ops Manager 实例转换为多 Kubernetes集群 部署实例。MongoDB

另请参阅资源规范的示例。

MultiCluster

spec
.applicationDatabase
.security
.certsSecretPrefix

字符串

必需。

包含应用程序数据库的TLS证书的密钥名称前缀的文本。

appdb-prod

spec
.applicationDatabase
.security
.tls
.ca

字符串

您创建的 ConfigMap 的名称，用于验证您的应用程序数据库 TLS 证书，该证书使用自定义 CA 签名。此字段为必填项，如果您使用自定义 CA 签署了应用程序数据库 TLS 证书。

ca

Kubernetes 操作符将您使用 设置添加的 CA spec.applicationDatabase.security.tls.ca挂载到 Ops Manager 和应用程序数据库 Pods。

7

可选：配置备份设置。

要配置备份，必须启用备份，然后：

  • 选择配置 S3 快照存储 或 块存储。如果您同时部署 S3 快照存储 和 块存储，MongoDB Ops Manager 会随机选择其中一个用于备份。

  • 选择配置 oplog 存储或 S3 oplog 存储。如果您同时部署 oplog 存储和 S3 oplog 存储，MongoDB Ops Manager 会随机选择其中一个用于 oplog 备份。

键
类型
说明
例子

spec
.backup
.enabled

布尔

指示备份已启用的标志。 您必须指定spec.backup.enabled: true才能配置头部数据库、oplog 存储和快照存储的设置。

true

spec
.backup
.headDB

集合

头部数据库配置设置的集合。 有关集合中各个设置的说明，请参阅spec.backup.headDB 。

spec
.backup
.opLogStores
.name

字符串

oplog 存储的名称。

oplog1

spec
.backup
.s3OpLogStores
.name

字符串

S3 oplog 存储的名称。

my-s3-oplog-store

spec
.backup
.opLogStores
.mongodbResourceRef
.name

字符串

oplog 存储的MongoDB资源或MongoDBMultiCluster资源的名称。 资源的metadata.name必须与此名称匹配。

my-oplog-db

spec
.backup
.s3OpLogStores
.mongodbResourceRef
.name

字符串

MongoDB 资源或 MongoDBMultiCluster 资源的名称，用于 S3 oplog 存储。资源的 metadata.name 必须与此名称匹配。

my-s3-oplog-db

您还必须配置S 3快照存储或块存储存储。

如果同时部署S3快照存储和块存储存储， MongoDB Ops Manager会随机选择一个用于备份。

要配置快照存储，请配置以下设置：

键
类型
说明
例子

spec
.backup
.s3Stores
.name

字符串

S3 快照存储的名称。

s3store1

spec
.backup
.s3Stores
.s3SecretRef
.name

字符串

Name of the secret that contains the accessKey and secretKey fields. The Backup Daemon Service uses the values of these fields as credentials to access the S3 or S3-compatible bucket.

my-s3-credentials

spec
.backup
.s3Stores
.s3BucketEndpoint

字符串

URL 的 S3 或 S3兼容的存储桶，用于 存储 数据库备份快照。

s3.us-east-1.amazonaws.com

spec
.backup
.s3Stores
.s3BucketName

字符串

存储数据库备份快照的 S3或 S3兼容的存储桶的名称。

my-bucket

要配置块存储，请配置以下设置：

键
类型
说明
例子

spec
.backup
.blockStores
.name

字符串

块存储的名称。

blockStore1

spec
.backup
.blockStores
.mongodbResourceRef
.name

字符串

您为块存储创建的MongoDB资源的名称。 您必须将此数据库资源部署在与 Ops Manager 资源相同的命名空间中。

my-mongodb-blockstore

8

可选：为 Ops Manager 备份配置任何其他设置。

将要应用部署的任何可选备份设置添加到对象规范文件中。示例，对于每种类型的备份存储和MongoDB Ops Manager备份守护进程进程，您可以分配标签以将特定备份存储或备份守护进程进程与特定项目关联起来。 使用 OpsManager 资源的 spec.backup.[*].assignmentLabels 元素。

9

可选：为 Ops Manager 部署配置任何其他设置。

将要应用部署的任何可选设置添加到对象规范文件中。

10

以 .yaml 文件扩展名保存此文件。

11

创建你的 Ops Manager 实例。

在 Ops Manager 资源定义的文件名上运行以下kubectl命令：

kubectl apply -f <opsmgr-resource>.yaml

注意

MongoDB Ops Manager如果要在多 Kubernetes集群 部署上部署MongoDB 资源，请运行：

kubectl apply \  --context "$MDB_CENTRAL_CLUSTER_FULL_NAME" \  --namespace "mongodb"   -f https://raw.githubusercontent.com/mongodb/mongodb-kubernetes/1.4.0/public/samples/ops-manager/ops-manager-external.yaml
12

追踪你的 Ops Manager 实例的状态。

要检查 Ops Manager 资源的状态，请调用以下命令：

kubectl get om -o yaml -w

部署资源时，该命令会在status字段下返回类似于以下内容的输出：

status: applicationDatabase:  lastTransition: "2022-04-01T09:49:22Z"  message: AppDB Statefulset is not ready yet  phase: Pending  type: ""  version: "" backup:  phase: "" opsManager:  phase: ""

Kubernetes Operator 按以下顺序协调资源：

  1. 应用程序数据库。

  2. Ops Manager。

  3. 备份。

在前一个资源进入Running阶段之前，Kubernetes 操作符 不会协调某一资源。

在 Ops Manager 经理完成Pending阶段后，如果启用了备份，该命令会在status字段下返回类似于以下内容的输出：

status: applicationDatabase:     lastTransition: "2022-04-01T09:50:20Z"     members: 3     phase: Running     type: ReplicaSet     version: "8.0.0-ubi8"  backup:   lastTransition: "2022-04-01T09:57:42Z"   message: The MongoDB object <namespace>/<oplogresourcename>     doesn't exist   phase: Pending   opsManager:     lastTransition: "2023-04-01T09:57:40Z"     phase: Running     replicas: 1     url: https://om-svc.cloudqa.svc.cluster.local:8443     version: "8.0.0"

在配置备份数据库之前，备份将保持Pending状态。

提示

status.opsManager.url字段说明资源的连接URL 。 使用此URL ，您可以从MongoDB Ops Manager Kubernetes集群内部访问 或 使用 ConfigMap 创建项目。

资源完成Pending阶段后，该命令会在status字段下返回类似于以下内容的输出：

status:  applicationDatabase:     lastTransition: "2022-12-06T18:23:22Z"     members: 3     phase: Running     type: ReplicaSet     version: "8.0.0-ubi8"   opsManager:     lastTransition: "2022-12-06T18:23:26Z"     message: The MongoDB object namespace/oplogdbname doesn't exist     phase: Pending     url: https://om-svc.dev.svc.cluster.local:8443     version: ""

在配置备份数据库之前，备份将保持Pending状态。

提示

status.opsManager.url字段说明资源的连接URL 。 使用此URL ，您可以从MongoDB Ops Manager Kubernetes集群内部访问 或 使用 ConfigMap 创建项目。

13

访问 Ops Manager 应用程序。

根据您在 Kubernetes 中将流量路由到 Ops Manager 应用程序的方式，您采取的步骤会有所不同。如果已配置 Kubernetes 操作符 来为您创建 Kubernetes 服务，或者您手动创建了 Kubernetes 服务，请使用以下方法之一访问 Ops Manager 应用程序：

LoadBalancer 服务：

  1. 查询您的云提供商以获取负载均衡器服务的FQDN 。 有关详细信息，请参阅云提供商的文档。

  2. 打开浏览器窗口，使用负载负载均衡器服务的MongoDB Ops Manager FQDN 和端口号导航到 应用程序。

    https://ops.example.com:8443

  3. 使用管理员用户凭证登录 Ops Manager。

NodePort 服务：

  1. 将防火墙规则设置为允许从互联网访问权限运行Kubernetes集群的托管上的spec.externalConnectivity. port 。

  2. 打开浏览器窗口，使用 FQDN 和 spec.externalConnectivity.port. 导航到 MongoDB Ops Manager 应用程序。

    https://ops.example.com:30036

  3. 使用管理员用户凭证登录 Ops Manager。

要了解如何使用第三方服务访问 Ops Manager 应用程序，请参阅您的解决方案的文档。

14

为 Kubernetes 操作符 创建档案。

要配置凭证，您必须创建MongoDB Ops Manager组织、生成编程API密钥并创建密钥。这些活动遵循“为Kubernetes Operator 创建凭证”页面上的先决条件和过程。

15

使用 ConfigMap 创建项目。

要创建项目，请遵循使用 ConfigMap 为每个MongoDB部署创建一个项目页面上的前提条件和步骤。

在项目 ConfigMap 中设置以下字段：

  • 将 ConfigMap 中的data.baseUrl设置为 Ops Manager 应用程序的URL 。 要查找此URL ，请调用以下命令：

    kubectl get om -o yaml -w

    该命令在status.opsManager.url字段中返回 Ops Manager 应用程序的 URL，与以下示例类似：

    status:   applicationDatabase:     lastTransition: "2022-12-06T18:23:22Z"     members: 3     phase: Running     type: ReplicaSet     version: "8.0.0-ubi8"   opsManager:     lastTransition: "2022-12-06T18:23:26Z"     message: The MongoDB object namespace/oplogdbname doesn't exist     phase: Pending     url: https://om-svc.dev.svc.cluster.local:8443     version: ""

    重要

    如果将 Ops Manager 与 Kubernetes Operator 一起部署，且 Ops Manager 将管理部署在 Kubernetes 集群外部的 MongoDB 数据库资源，则必须将 data.baseUrl 设置为与 Ops Manager 资源规范中的 spec.configuration.mms.centralUrl 设置相同的值。

    要学习；了解更多信息，请参阅管理外部MongoDB部署。

  • Set data.sslMMSCAConfigMap to the name of your ConfigMap containing the root CA certificate used to sign the Ops Manager host's certificate. The Kubernetes Operator requires that you name this Ops Manager resource's certificate mms-ca.crt in the ConfigMap.

16

部署 MongoDB database 资源，完成备份配置。

默认， MongoDB Ops Manager启用备份。 为oplog和快照存储创建MongoDB 数据库资源以完成配置。

  1. 在与 Ops Manager 资源相同的命名空间中为 oplog 存储部署MongoDB database资源。

    注意

    创建此数据库作为三成员副本集。

    将资源的metadata.name与您在 Ops Manager 资源定义中指定的spec.backup.opLogStores.mongodbResourceRef.name进行匹配。

  2. 部署一个 MongoDB 数据库资源，用于位于与 MongoDB Ops Manager 资源相同命名空间中的 S3 快照存储。

    注意

    创建 S3 快照存储作为副本集。

    将资源的metadata.name与您在 Ops Manager 资源定义中指定的spec.backup.s3Stores.mongodbResourceRef.name进行匹配。

17

确认 Ops Manager 资源正在运行。

要检查 Ops Manager 资源的状态，请调用以下命令：

kubectl get om -o yaml -w

当 Ops Manager 运行时，该命令会在status字段下返回类似于以下内容的输出：

status:  applicationDatabase:    lastTransition: "2022-12-06T17:46:15Z"    members: 3    phase: Running    type: ReplicaSet    version: "8.0.0-ubi8"  opsManager:    lastTransition: "2022-12-06T17:46:32Z"    phase: Running    replicas: 1    url: https://om-backup-svc.dev.svc.cluster.local:8443    version: "8.0.0"

有关资源部署状态的信息，请参阅排除 Kubernetes 操作符故障。

给本页内容打分

在此页面上