自管理MongoDB的外部配置值

使用 __rest 扩展指令

__rest 扩展指令从 REST 端点加载配置文件值。__rest 支持加载配置文件中的特定值或加载整个配置文件。

storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  bindIp: 192.51.100.24,127.0.0.1
  tls:
    mode: requireTLS
    certificateKeyFile: "/etc/tls/mongod.pem"
    certificateKeyFilePassword:
      __rest: "https://myrestserver.example.net/api/config/myCertKeyFilePassword"
      type: "string"

__rest: "https://myrestserver.example.net/api/config/fullConfig"
type: "yaml"

使用 __exec 扩展指令

__exec扩展指令从 Shell 或终端命令中加载配置文件值。__exec 支持加载配置文件中的特定值或加载整个配置文件。

storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  bindIp: 192.51.100.24,127.0.0.1
  tls:
    mode: requireTLS
    certificateKeyFile: "/etc/tls/mongod.pem"
    certificateKeyFilePassword:
      __exec: "python /home/myUserName/getPEMPassword.py"
      type: "string"

__exec: "python /home/myUserName/getFullConfig.py"
type: "yaml"

扩展指令参考

__rest

__rest扩展指令从REST 端点加载配置文件值。__rest 支持加载配置文件中的特定值或加载整个配置文件。然后，mongod 开始使用外部来源的值作为其配置的一部分。

__rest扩展指令的语法如下：

• 要为一项或多项特定的配置文件设置指定 REST 端点，请执行以下操作：

  <some configuration file setting>:
    __rest: "<string>"
    type: "string"
    trim: "none|whitespace"
    digest: "<string>"
    digest_key: "<string>"

• 要为整个配置文件指定 REST 端点，请执行以下操作：

  __rest: "<string>"
  type: "yaml"
  trim: "none|whitespace"

  如果通过 REST 终端指定整个配置文件，扩展指令及其选项必须是配置文件中指定的唯一值。

__rest 采用以下字段：

字段	类型	说明
__rest	字符串	必需 针对其发出 请求以检索外部来源的值的URLmongod 。GET 对于非本地主机 REST 端点（如托管在远程服务器上的 REST 端点），__rest 需要加密 (https://) URL，前提是主机和远程服务器都支持 TLS1.1 或更高版本。 如果 URL 中指定的 REST 终结点需要身份验证，则使用标准 RFC 3986 用户信息格式将凭证编码到 URL 中。 对于本地主机 REST 端点（例如在主机上监听的 REST 端点），__rest 允许未加密的 (http://) URL。 重要提示：指定的 REST端点返回的值不能包含任何其他扩展指令。 不对返回的数据执行额外处理；如果返回的数据包含额外的扩展指令，则mongod 将以错误代码终止。
type	字符串	可选控制 __rest 如何解析指定 URL 的返回值。 可能的值为： string （默认值） 指示 __rest 将返回的数据解析为字面字符串。如果指定 string，则整个 __rest 块和支持选项必须嵌套在您要加载外部来源值的字段下。 yaml __rest指示 将返回的数据解析为yaml 格式的文件。如果指定yaml ，则__rest 区块必须是配置文件中的唯一内容。 会将配置文件内容替换为从mongod yamlREST资源检索到的 。
trim	字符串	可选指定 whitespace 可指示 __rest 修剪任何前导或尾随空格，特别是 " "、"\r"、"\n"、"\t"、"\v" 和 "\f" 出现时。默认为 none，或不修剪。
摘要	字符串	可选。扩展结果的 HMAC-SHA256 HMAC-SHA256(digest_key, message)输出，计算公式为 ，其中message 是要检索的配置设置的值。 如果指定，还必须指定 digest_key。
digest_key	字符串	可选。64 32字节密钥的256 个字符的十六进制字符串表示形式，用于计算扩展结果的 HMAC-SHA 摘要。 如果指定，还必须指定摘要。 示例，假设 certificateKeyFilePassword 是“superSecret123”。要使用 REST请求或 exec 服务调用检索此密码，您必须生成摘要密钥并使用它来计算密码的摘要。 在终端中运行以下代码以生成 32 字节的摘要密钥： openssl rand -hex 32 查看输出 f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 生成摘要密钥后，可以使用它来计算密码的摘要： echo -ne "superSecret123" | openssl dgst -sha256 -mac hmac -macopt hexkey:f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 查看输出 8ca2f57caef0bb23b76e45b3fd1e899b7e306b8ba93f406a56d8969846ca9122

注意

• 如果配置文件包含 __rest 扩展，则在 Linux/macOS 上，对配置文件的读取访问权限必须仅限于运行 mongod / mongos 进程的用户。

• 要启用对__rest 扩展指令的解析，请使用 选项启动mongod --configExpand "rest"。

有关示例，请参阅使用 __rest 扩展指令。

__exec

__exec扩展指令从Shell或终端命令的输出中加载配置文件值。__exec 支持加载配置文件中的特定值或加载整个配置文件。然后，mongod 开始使用外部来源的值作为其配置的一部分。

__exec扩展指令的语法如下：

• 要为一项或多项特定的配置文件设置指定 shell 或终端命令，请执行以下操作：

  <some configuration file setting>:
    __exec: "<string>"
    type: "string"
    trim: "none|whitespace"

• 为整个配置文件指定 shell 或终端命令：

  __exec: "<string>"
  type: "yaml"
  trim: "none|whitespace"

  如果通过终端或 shell 命令指定整个配置文件，扩展指令及其选项必须是配置文件中指定的唯一值。

__exec 采用以下字段：

字段	类型	说明
__exec	字符串	必需 mongod在终端或Shell上执行以检索外部来源的值的字符串。 在 Linux 和 OSX 主机上，执行通过 POSIX popen() 处理的。在 Windows 主机上，执行是通过进程控制 API 处理的。__exec 以启动 mongod 或mongos 的同一用户身份打开只读管道。 重要提示：执行指定命令返回的数据不能包含任何其他扩展指令。 不对返回的数据执行额外处理；如果返回的数据包含额外的扩展指令，则mongod 将以错误代码终止。
type	字符串	（可选）控制 __exec 如何解析已执行命令返回的值。 可能的值为： string （默认值） 指示 __exec 将返回的数据解析为字面字符串。如果指定 string，则整个 __exec 块和支持选项必须嵌套在您要加载外部来源值的字段下。 yaml __exec指示 将返回的数据解析为yaml 格式的文件。如果指定yaml ，则__exec mongod区块必须是配置文件中的唯一内容。 会将配置文件内容替换为从执行命令中检索到的yaml 。
trim	字符串	可选指定 whitespace 可指示 __exec 修剪任何前导或尾随空格，特别是 " "、"\r"、"\n"、"\t"、"\v" 和 "\f" 出现时。默认为 none，或不修剪。
摘要	字符串	可选。扩展结果的 HMAC-SHA256 HMAC-SHA256(digest_key, message)输出，计算公式为 ，其中message 是要检索的配置设置的值。 如果指定，则还必须指定 digest_key
digest_key	字符串	可选。64 32字节密钥的256 个字符的十六进制字符串表示形式，用于计算扩展结果的 HMAC-SHA 摘要。 如果指定，则还必须指定 digest 示例，假设 certificateKeyFilePassword 是“superSecret123”。要使用 REST请求或 exec 服务调用检索此密码，您必须生成摘要密钥并使用它来计算密码的摘要。 在终端中运行以下代码以生成 32 字节的摘要密钥： openssl rand -hex 32 查看输出 f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 生成摘要密钥后，可以使用它来计算密码的摘要： echo -ne "superSecret123" | openssl dgst -sha256 -mac hmac -macopt hexkey:f38d0d5adfcf1a0575f9fa9051c70a2f88b1bb7562513c9efd7686e9c21ad304 查看输出 8ca2f57caef0bb23b76e45b3fd1e899b7e306b8ba93f406a56d8969846ca9122

注意

• 如果配置文件包含 __exec 扩展，则在 Linux/macOS 上，对配置文件的写入访问权限必须仅限于运行 mongod / mongos 进程的用户。

• 要启用对__exec 扩展指令的解析，请使用 选项启动mongod --configExpand "exec"。

有关示例，请参阅使用 __exec 扩展指令。

输出具有已解析扩展指令值的配置文件

您可以通过使用mongod --outputConfigmongod--outputConfig选项启动stdout 来测试指定一个或多个扩展指令的配置文件的最终输出。使用 启动的 将解析的 YAMLmongod 配置文档输出到 并停止。如果配置文件中指定的任何扩展指令返回其他扩展指令，则 会引发错误并终止。

例如，以下配置文件 mongod.conf 包含一个 __rest 扩展指令：

storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  port:
    __rest: "https://mongoconf.example.net:8080/record/1"
    type: string

在指定 URL 记录的字符串是 20128

如果配置文件包含 __rest 扩展，则在 Linux/macOS 上，对配置文件的读取访问权限必须仅限于运行 mongod / mongos 进程的用户。

使用 --configExpand "rest" 和 --outputConfig 选项启动 mongod：

mongod -f mongod.conf --configExpand rest --outputConfig

mongod 在终止之前会向 stdout 输出以下内容：

config: mongod.conf
storage:
  dbPath: "/var/lib/mongo"
systemLog:
  destination: file
  path: "/var/log/mongodb/mongod.log"
net:
  port: 20128
outputConfig: true