对于 AI 代理：可在 https://www.mongodb.com/zh-cn/docs/llms.txt 获取文档索引—通过在任何 URL 路径后添加 .md 可获取所有页面的 Markdown 版本。
Docs 菜单
Docs 主页
/ /
部署MongoDB Ops ManagerMongoDB Ops Manager
Docs 主页
/
管理
/
Kubernetes Operator 的控制器
/
部署MongoDB Ops ManagerMongoDB Ops Manager
Docs 主页
/
管理
/
Kubernetes Operator 的控制器
/
部署MongoDB Ops ManagerMongoDB Ops Manager

部署 Ops Manager 资源

您可以使用 Kubernetes 操作符将 Ops Manager 作为资源部署在 Kubernetes container中。

Considerations

以下注意事项适用：

加密连接

配置 Ops Manager 部署时，必须选择是通过HTTPS还是HTTP运行连接。

以下HTTPS过程：

  • 建立与 Ops Manager 应用程序之间的TLS加密连接。

  • 在应用程序数据库的副本集成员之间建立TLS加密连接。

  • TLS 加密需要有效证书。

以下HTTP过程：

  • 不对与 Ops Manager 应用程序之间的连接进行加密。

  • 不加密应用程序数据库副本集成员之间的连接。

  • 设置要求较少。

通过HTTPS运行时， Ops Manager 默认在端口 8443 上运行。

根据您是否要使用TLS加密 Ops Manager 和应用程序数据库连接，选择相应的标签页。

先决条件

  • 完成先决条件。

  • 阅读注意事项。

  • Create one TLS certificate for the Application Database's replica set.

    此TLS证书需要以下属性：

    DNS 名称

    确保为托管应用程序数据库副本集节点的每个 Pod 添加 SAN 或主题名称。每个 pod 的 SAN 必须使用以下格式：

    <opsmgr-metadata.name>-db-<index>.<opsmgr-metadata.name>-db-svc.<namespace>.svc.cluster.local

    密钥用法

    Ensure that the TLS certificates include the following key-usages (5280):

    • "服务器 auth"

    • "client auth"

重要

Kubernetes 操作符使用 kubernetes.io/tls用于存储 MongoDB Ops Manager 和 MongoDB 资源的 TLS 证书和私钥的秘密。从 Kubernetes1 17操作符版本..0 开始，Kubernetes 操作符不支持作为 不透明的秘密 存储的合并的 PEM 文件。

步骤

此过程适用于在单个 Kubernetes 集群中部署 MongoDB Ops Manager 实例，以及在多集群部署中将 MongoDB Ops Manager 部署到中央集群。如果您想在多个 Kubernetes 集群上部署多个 MongoDB Ops Manager 实例，请参阅在多个 Kubernetes 集群上部署 MongoDB Ops Manager 资源。

请按照以下步骤部署 Ops Manager 资源以通过HTTPS运行，并使用TLS保护应用程序数据库。

1

将kubectl 配置为默认命名空间。

如果您尚未执行，请运行以下命令，执行所创建命名空间的所有 kubectl 命令。

注意

MongoDB Ops Manager如果要在多 Kubernetes 集群 部署中部署MongoDB 资源：

  • 将 context 设置为中心集群的名称，例如：kubectl config set context "$MDB_CENTRAL_CLUSTER_FULL_NAME"。

  • 将--namespace设置为您用于多 Kubernetes 集群 MongoDB 部署的相同范围，例如： kubectl config --namespace "mongodb" 。

kubectl config set-context $(kubectl config current-context) --namespace=<metadata.namespace>
2

为证书创建密钥。

如果您使用 HashiCorp Vault 作为您的 Secret 存储工具，则可以创建 Vault Secret。

要了解有关 Secret 存储的选项，请参阅配置 Secret 存储。

  1. 获得 TLS 证书和私钥后，运行以下命令以创建 MongoDB Ops Manager密钥 存储 的 TLS 证书：

    kubectl create secret tls <prefix>-<metadata.name>-cert \
      --cert=<om-tls-cert> \
      --key=<om-tls-key>

  2. 运行以下命令以创建新 密钥 存储应用程序数据库的 TLS 证书：

    kubectl create secret tls <prefix>-<metadata.name>-db-cert \
      --cert=<appdb-tls-cert> \
      --key=<appdb-tls-key>
3

为自定义CA证书添加其他证书。

如果您的MongoDB Ops Manager TLS 证书由自定义 CA 签名，则该 CA 证书还必须包含允许MongoDB Ops Manager备份守护程序从互联网下载MongoDB二进制文件的其他证书。要创建 TLS 证书，请创建 ConfigMap 来保存 CA 证书：

重要

Kubernetes 操作符要求 Ops Manager 证书在 ConfigMap 中命名为mms-ca.crt 。

  1. 从 downloads.mongodb.com 获取 Ops Manager 的完整 `TLS` 证书链。以下 openssl 命令将链中的证书输出到当前工作目录，格式为 .crt：

    openssl s_client -showcerts -verify 2 \
    -connect downloads.mongodb.com:443 -servername downloads.mongodb.com < /dev/null \
    | awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="cert"a".crt"; print >out}'

  2. 将您用于 MongoDB Ops Manager 的 CA 证书文件与您在上一个步骤中获取的来自 downloads.mongodb.com 的整个 TLS 证书链连接：

    cat <custom_ca_cert.pem> cert2.crt cert3.crt cert4.crt  >> mms-ca.crt

    注意

    • 将占位符 <custom_ca_cert.pem> 替换为您的自定义 CA 证书 PEM文件。

    • 请勿包含 cert1.crt文件，因为不应包含来自MongoDB的服务器证书。

  3. 为MongoDB Ops Manager创建 ConfigMap：

    kubectl create configmap om-http-cert-ca --from-file="mms-ca.crt"
4

MongoDB Ops ManagerKubernetes复制以下MongoDB Ops Manager Kubernetes对象示例之一。

更改设置以匹配您的 Ops Manager 和应用程序数据库配置。

1---
2apiVersion: mongodb.com/v1
3kind: MongoDBOpsManager
4metadata:
5  name: <myopsmanager>
6spec:
7  replicas: 1
8  version: <opsmanagerversion>
9  adminCredentials: <adminusercredentials> # Should match metadata.name
10                                           # in the Kubernetes secret
11                                           # for the admin user
12
13  externalConnectivity:
14    type: LoadBalancer
15  security:
16      certsSecretPrefix: <prefix> # Required. Text to prefix 
17                                  # the name of the secret that contains
18                                  # Ops Manager's TLS certificate.
19      tls:
20        ca: "om-http-cert-ca"  # Optional. Name of the ConfigMap file
21                               # containing the certificate authority that
22                               # signs the certificates used by the Ops
23                               # Manager custom resource.
24
25  applicationDatabase:
26    topology: SingleCluster
27    members: 3
28    version: "8.0.0-ubi8"
29    security:
30      certsSecretPrefix: <prefix> # Required. Text to prefix to the 
31                                  # name of the secret that contains the Application
32                                  # Database's TLS certificate. Name the secret 
33                                  # <prefix>-<metadata.name>-db-cert.
34      tls:
35        ca: "appdb-ca" # Optional, unless enabling TLS for |mms|. 
36                       # Name of the ConfigMap file
37                       # containing the certicate authority that
38                       # signs the certificates used by the
39                       # application database.
40
41...
5

打开您的首选文本编辑器，并将对象规范粘贴到新的文本文件中。

6

配置特定于您的部署的设置。

键
类型
说明
例子

字符串

此Kubernetes MongoDB Ops Manager对象的名称。

资源名称必须少于或等于 44 个字符。

metadata.name另请参阅有关名称的 和Kubernetes文档。

om

数字

要并行运行的 Ops Manager 实例的数量。

最小有效值为1 。 如果您在spec.topology设置中指定MultiCluster ，则此字段将被忽略。

1

字符串

要安装的 Ops Manager 版本。

格式应为 XYZ 要查看可用的Ops Manager版本，请查看容器注册表。

8.0.0

字符串

您为MongoDB Ops Manager管理员用户创建的密钥的名称。配置密钥以使用与MongoDB Ops Manager资源相同的命名空间。

om-admin-secret

spec
.security
.certsSecretPrefix

字符串

必需。

包含 Ops Manager TLS证书的密钥名称前缀的文本。

om-prod

spec
.security
.tls
.ca

字符串

您创建的 配置映射 的名称，用于验证使用自定义 CA 签名的 MongoDB Ops Manager TLS 证书。如果使用自定义 CA 签署了 MongoDB Ops Manager TLS 证书，则该字段是必填项。

om-http-cert-ca

spec
.externalConnectivity
.type

字符串

在Kubernetes之外公开MongoDB Ops Manager 的Kubernetes服务 ServiceType。如果您不希望Kubernetes Operator 创建Kubernetes服务以将外部流量路由到MongoDB Ops Manager应用程序，请排除 spec.externalConnectivity 设置及其子设置。

LoadBalancer

spec
.applicationDatabase
.members

整型

Ops Manager Application Database副本集的成员数。

3

spec
.applicationDatabase
.version

字符串

必需。

Version of MongoDB that the Ops Manager Application Database should run.

The format should be X.Y.Z-ubi8 for the Enterprise edition and X.Y.Z for the Community edition. Do not add the -ubi8 tag suffix to the Community edition image because the Kubernetes Operator adds the tag suffix automatically.

重要提示：确保选择兼容的MongoDB Server版本。 兼容版本因MongoDB 数据库资源使用的基础映像而异。

要了解有关 MongoDB 版本控制的更多信息，请参阅 MongoDB 手册中的 MongoDB 版本控制。

为获得最佳结果，请使用与您的MongoDB Ops Manager版本 兼容 的 最新可用企业MongoDB版本 。

spec
.applicationDatabase
.topology

字符串

可选。

应用程序数据库的 Kubernetes 部署类型。 如果省略，则默认值为SingleCluster 。

如果您指定MultiCluster，Kubernetes 操作符 将忽略您为spec.applicationDatabase.members字段设置的值（如果已指定）。相反，您必须指定 clusterSpecList，并在其中包含 clusterName 的每个选定 Kubernetes 节点集群（您要在其上部署应用程序数据库），以及每个 Kubernetes 集群中 members（MongoDB 节点）的数量。

您无法通过修改 CRD 中的clusterSpecList 和 topology设置将单集群MongoDB Ops Manager 实例转换为多 Kubernetes集群 部署实例。MongoDB

另请参阅资源规范的示例。

MultiCluster

spec
.applicationDatabase
.security
.certsSecretPrefix

字符串

必需。

包含应用程序数据库的TLS证书的密钥名称前缀的文本。

appdb-prod

spec
.applicationDatabase
.security
.tls
.ca

字符串

您创建的 ConfigMap 的名称，用于验证您的应用程序数据库 TLS 证书，该证书使用自定义 CA 签名。此字段为必填项，如果您使用自定义 CA 签署了应用程序数据库 TLS 证书。

ca

Kubernetes 操作符将您使用 设置添加的 CA spec.applicationDatabase.security.tls.ca挂载到 Ops Manager 和应用程序数据库 Pods。

7

可选：配置备份设置。

要配置备份，必须启用备份，然后：

键
类型
说明
例子

spec
.backup
.enabled

布尔

指示备份已启用的标志。 您必须指定spec.backup.enabled: true才能配置头部数据库、oplog 存储和快照存储的设置。

true

spec
.backup
.headDB

集合

A collection of configuration settings for the head database. For descriptions of the individual settings in the collection, see spec.backup.headDB.

spec
.backup
.opLogStores
.name

字符串

oplog 存储的名称。

oplog1

spec
.backup
.s3OpLogStores
.name

字符串

S3 oplog 存储的名称。

my-s3-oplog-store

spec
.backup
.opLogStores
.mongodbResourceRef
.name

字符串

oplog 存储的MongoDB资源或MongoDBMultiCluster资源的名称。 资源的metadata.name必须与此名称匹配。

my-oplog-db

spec
.backup
.s3OpLogStores
.mongodbResourceRef
.name

字符串

MongoDB 资源或 MongoDBMultiCluster 资源的名称，用于 S3 oplog 存储。资源的 metadata.name 必须与此名称匹配。

my-s3-oplog-db

You must also configure an S3 snapshot store or a blockstore.

If you deploy both an S3 snapshot store and a blockstore, Ops Manager randomly choses one to use for Backup.

要配置快照存储，请配置以下设置：

键
类型
说明
例子

spec
.backup
.s3Stores
.name

字符串

S3 快照存储的名称。

s3store1

spec
.backup
.s3Stores
.s3SecretRef
.name

字符串

包含 accessKey 和 secretKey 字段的密钥名称。备份守护程序服务使用这些字段的值作为凭证来访问权限S3 或 S3 兼容存储桶。

my-s3-credentials

spec
.backup
.s3Stores
.s3BucketEndpoint

字符串

存储数据库备份快照的 S3 或 S3 兼容存储桶的URL 。

s3.us-east-1.amazonaws.com

spec
.backup
.s3Stores
.s3BucketName

字符串

存储数据库备份快照的 S3或 S3兼容的存储桶的名称。

my-bucket

要配置块存储，请配置以下设置：

键
类型
说明
例子

spec
.backup
.blockStores
.name

字符串

块存储的名称。

blockStore1

spec
.backup
.blockStores
.mongodbResourceRef
.name

字符串

您为块存储创建的MongoDB资源的名称。 您必须将此数据库资源部署在与 Ops Manager 资源相同的命名空间中。

my-mongodb-blockstore

8

可选：为 Ops Manager 备份配置任何其他设置。

将要应用部署的任何可选备份设置添加到对象规范文件中。示例，对于每种类型的备份存储和MongoDB Ops Manager备份守护进程进程，您可以分配标签以将特定备份存储或备份守护进程进程与特定项目关联起来。 使用 OpsManager 资源的 spec.backup.[*].assignmentLabels 元素。

9

可选：为 Ops Manager 部署配置任何其他设置。

将要应用部署的任何可选设置添加到对象规范文件中。

10

以 .yaml 文件扩展名保存此文件。

11

创建你的 Ops Manager 实例。

在 Ops Manager 资源定义的文件名上运行以下kubectl命令：

kubectl apply -f <opsmgr-resource>.yaml

注意

MongoDB Ops Manager如果要在多 Kubernetes集群 部署上部署MongoDB 资源，请运行：

kubectl apply \
  --context "$MDB_CENTRAL_CLUSTER_FULL_NAME" \
  --namespace "mongodb"
   -f https://raw.githubusercontent.com/mongodb/mongodb-kubernetes/1.5.0/public/samples/ops-manager/ops-manager-external.yaml
12

追踪你的 Ops Manager 实例的状态。

要检查 Ops Manager 资源的状态，请调用以下命令：

kubectl get om -o yaml -w

部署资源时，该命令会在status字段下返回类似于以下内容的输出：

status:
 applicationDatabase:
  lastTransition: "2022-04-01T09:49:22Z"
  message: AppDB Statefulset is not ready yet
  phase: Pending
  type: ""
  version: ""
 backup:
  phase: ""
 opsManager:
  phase: ""

Kubernetes Operator 按以下顺序协调资源：

  1. 应用程序数据库。

  2. Ops Manager。

  3. 备份。

在前一个资源进入Running阶段之前，Kubernetes 操作符 不会协调某一资源。

在 Ops Manager 经理完成Pending阶段后，如果启用了备份，该命令会在status字段下返回类似于以下内容的输出：

status:
 applicationDatabase:
     lastTransition: "2022-04-01T09:50:20Z"
     members: 3
     phase: Running
     type: ReplicaSet
     version: "8.0.0-ubi8"
  backup:
   lastTransition: "2022-04-01T09:57:42Z"
   message: The MongoDB object <namespace>/<oplogresourcename>
     doesn't exist
   phase: Pending
   opsManager:
     lastTransition: "2023-04-01T09:57:40Z"
     phase: Running
     replicas: 1
     url: https://om-svc.cloudqa.svc.cluster.local:8443
     version: "8.0.0"

在配置备份数据库之前，备份将保持Pending状态。

提示

status.opsManager.url字段说明资源的连接URL 。 使用此URL ，您可以从MongoDB Ops Manager Kubernetes集群内部访问 或 使用 ConfigMap 创建项目。

资源完成Pending阶段后，该命令会在status字段下返回类似于以下内容的输出：

status:
  applicationDatabase:
     lastTransition: "2022-12-06T18:23:22Z"
     members: 3
     phase: Running
     type: ReplicaSet
     version: "8.0.0-ubi8"
   opsManager:
     lastTransition: "2022-12-06T18:23:26Z"
     message: The MongoDB object namespace/oplogdbname doesn't exist
     phase: Pending
     url: https://om-svc.dev.svc.cluster.local:8443
     version: ""

在配置备份数据库之前，备份将保持Pending状态。

提示

status.opsManager.url字段说明资源的连接URL 。 使用此URL ，您可以从MongoDB Ops Manager Kubernetes集群内部访问 或 使用 ConfigMap 创建项目。

13

访问 Ops Manager 应用程序。

根据您在 Kubernetes 中将流量路由到 Ops Manager 应用程序的方式，您采取的步骤会有所不同。如果已配置 Kubernetes 操作符 来为您创建 Kubernetes 服务，或者您手动创建了 Kubernetes 服务，请使用以下方法之一访问 Ops Manager 应用程序：

  1. 查询您的云提供商以获取负载均衡器服务的FQDN 。 有关详细信息，请参阅云提供商的文档。

  2. 打开浏览器窗口，使用负载负载均衡器服务的MongoDB Ops Manager FQDN 和端口号导航到 应用程序。

    https://ops.example.com:8443

  3. 使用管理员用户凭证登录 Ops Manager。

要了解如何使用第三方服务访问 Ops Manager 应用程序，请参阅您的解决方案的文档。

14

为 Kubernetes 操作符 创建档案。

要配置凭证，您必须创建MongoDB Ops Manager组织、生成编程API密钥并创建密钥。这些活动遵循“为Kubernetes Operator 创建凭证”页面上的先决条件和过程。

15

使用 ConfigMap 创建项目。

要创建项目，请遵循使用 ConfigMap 为每个MongoDB部署创建一个项目页面上的前提条件和步骤。

在项目 ConfigMap 中设置以下字段：

  • 将 ConfigMap 中的data.baseUrl设置为 Ops Manager 应用程序的URL 。 要查找此URL ，请调用以下命令：

    kubectl get om -o yaml -w

    该命令在status.opsManager.url字段中返回 Ops Manager 应用程序的 URL，与以下示例类似：

    status:
       applicationDatabase:
         lastTransition: "2022-12-06T18:23:22Z"
         members: 3
         phase: Running
         type: ReplicaSet
         version: "8.0.0-ubi8"
       opsManager:
         lastTransition: "2022-12-06T18:23:26Z"
         message: The MongoDB object namespace/oplogdbname doesn't exist
         phase: Pending
         url: https://om-svc.dev.svc.cluster.local:8443
         version: ""

    重要

    如果将 Ops Manager 与 Kubernetes Operator 一起部署，且 Ops Manager 将管理部署在 Kubernetes 集群外部的 MongoDB 数据库资源，则必须将 data.baseUrl 设置为与 Ops Manager 资源规范中的 spec.configuration.mms.centralUrl 设置相同的值。

    要学习；了解更多信息，请参阅管理外部MongoDB部署。

  • Set data.sslMMSCAConfigMap to the name of your ConfigMap containing the root CA certificate used to sign the Ops Manager host's certificate. The Kubernetes Operator requires that you name this Ops Manager resource's certificate mms-ca.crt in the ConfigMap.

16

部署 MongoDB database 资源，完成备份配置。

By default, Ops Manager enables Backup. Create a MongoDB database resource for the oplog and snapshot stores to complete the configuration.

  1. 在与 Ops Manager 资源相同的命名空间中为 oplog 存储部署MongoDB database资源。

    注意

    创建此数据库作为三成员副本集。

    将资源的metadata.name与您在 Ops Manager 资源定义中指定的spec.backup.opLogStores.mongodbResourceRef.name进行匹配。

  2. 部署一个 MongoDB 数据库资源，用于位于与 MongoDB Ops Manager 资源相同命名空间中的 S3 快照存储。

    注意

    创建 S3 快照存储作为副本集。

    将资源的metadata.name与您在 Ops Manager 资源定义中指定的spec.backup.s3Stores.mongodbResourceRef.name进行匹配。

17

确认 Ops Manager 资源正在运行。

要检查 Ops Manager 资源的状态，请调用以下命令：

kubectl get om -o yaml -w

当 Ops Manager 运行时，该命令会在status字段下返回类似于以下内容的输出：

status:
  applicationDatabase:
    lastTransition: "2022-12-06T17:46:15Z"
    members: 3
    phase: Running
    type: ReplicaSet
    version: "8.0.0-ubi8"
  opsManager:
    lastTransition: "2022-12-06T17:46:32Z"
    phase: Running
    replicas: 1
    url: https://om-backup-svc.dev.svc.cluster.local:8443
    version: "8.0.0"

有关资源部署状态的信息，请参阅排除 Kubernetes 操作符故障。

给本页内容打分

在此页面上