Ops Manager 配置设置

Ops Manager 应用程序数据库的 Kerberos 身份验证

mms.kerberos.debug

类型：布尔值

调试标志以输出有关 Kerberos 身份验证进程的详细信息。

mms.kerberos.debug=false

mms.kerberos.keyTab

类型：字符串

如果使用 Kerberos，则为必填项。主体密钥表文件的绝对路径。

mms.kerberos.keyTab=/path/to/mms.keytab

mms.kerberos.principal

类型：字符串

使用Kerberos时必需。用于与MongoDB进行身份验证的主体。这应该与 上的用户完全相同。mongo.mongoUri

mms.kerberos.principal=mms/mmsweb.example.com@EXAMPLE.COM

jvm.java.security.krb5.conf

类型：字符串

可选。备用Kerberos配置文件的路径。该值设立为Java虚拟机（JVM）的 java.security.krb5.conf。

jvm.java.security.krb5.conf=/etc/conf/krb5.conf

jvm.java.security.krb5.kdc

类型：字符串

使用Kerberos时必需。 KDC服务器的IP /FQDN。该值将设立为Java虚拟机（JVM）的 java.security.krb5.kdc。

jvm.java.security.krb5.kdc=kdc.example.com

jvm.java.security.krb5.realm

类型：字符串

使用Kerberos时必需。这是Kerberos的默认域 。它用于Java虚拟机（JVM）的 java.security.krb5.realm。

jvm.java.security.krb5.realm=EXAMPLE.COM

对 MongoDB Ops Manager 应用程序数据库的 OIDC 身份验证

除了此页面上的现有身份验证机制外， Ops Manager和备份守护程序还可以使用 OIDC 对Ops Manager 应用程序数据库进行身份验证。 Ops Manager在初创企业从 conf-mms.properties 读取这些设置。更改任何这些设置都需要重新启动Ops Manager；由于备份守护程序在初创企业时会读取相同的 conf-mms.properties文件，因此请重新启动备份守护程序。

这些设置全局应用于 conf-mms.properties 中每个配置了 mongo.* 的连接，因此所有此类连接股票相同的 OIDC 配置。

mms.oidcEnabled

类型：布尔值

默认：false

启用从Ops Manager和备份守护程序到Ops Manager 应用程序数据库的 OIDC身份验证。除了现有的身份验证机制之外，还可以使用 OIDC身份验证；启用它不会禁用其他已配置的机制。

mongo.oidcEnabled=true

mms.oidcMethod

类型：字符串

Ops Manager用于通过 OIDC 向Ops Manager 应用程序数据库进行身份验证的令牌获取方法。将此选项设置为以下值之一：

• callback：使用针对自定义 IdP 的客户端凭证流，例如 Keycloak、Okta 或Azure。

• azure: 对于 Azure 上的工作负载身份，使用内置环境身份验证。

• gcp: 在 GCP 上为工作负载身份使用内置环境身份验证。

• k8s: 对于 Kubernetes 工作负载身份，请使用内置环境身份验证。

对于 azure、gcp 和 k8s 方法，MongoDB 驱动程序从环境获取工作负载身份词元，不需要客户端秘密。

mongo.oidcMethod=callback

mms.oidcTokenUri

类型：字符串

IdP 的令牌端点URL 。 Ops Manager使用此端点通过客户端凭证流请求访问权限令牌。

mms.oidcMethod当 为callback 时为必需。不用于azure 、gcp 或k8s 方法。

mongo.oidcTokenUri=https://idp.example.com/realms/prod/protocol/openid-connect/token

mms.oidcClientId

类型：字符串

Ops Manager在请求访问权限令牌时向 IdP 提供的客户端标识符。

mms.oidcMethod当 为callback 时为必需。对于azure 方法，您可以选择将其设立为用户分配的托管身份的客户端ID ；如果省略， Ops Manager将使用系统分配的托管标识。不用于gcp 或k8s 方法。

mongo.oidcClientId=ops-manager-appdb

mms.oidcClientSecret

类型：字符串

Ops Manager在请求访问权限令牌时向 IdP 提供的客户端端密钥。

mms.oidcMethod当 为callback 时为必需。不用于azure 、gcp 或k8s 方法，因为这些方法不需要客户端密钥。

mongo.oidcClientSecret=<client-secret>

mms.oidcScope

类型：字符串

Ops Manager在使用客户端凭证流程获取访问权限令牌时从 IdP 请求的 OAuth2 作用域。

mms.oidcMethod仅当 为callback 时使用。不用于azure 、gcp 或k8s 方法。

mongo.oidcScope=openid

mms.oidcTokenResource

类型：字符串

Ops Manager从环境获取工作负载身份令牌时请求的受众或资源标识符。此值必须与目标MongoDB部署的 oidcIdentityProviders 设置中为此 IdP 配置的 audience 相匹配。

当mms.oidcMethod azure为 或gcp 时为必填项。不用于callback 或k8s 方法。

mongo.oidcTokenResource=https://my-mongodb-audience

与应用程序数据库的 TLS/SSL 连接

mongo.ssl

类型：布尔值

设立为 true 时，启用与Ops Manager 应用程序数据库的 TLS 连接。

mongodb.ssl.CAFile

类型：字符串

PEM 文件的名称，而此文件包含签署 MongoDB 服务器证书的证书颁发机构所提供的根证书链。

mongodb.ssl.PEMKeyFile

类型：字符串

包含 X509 证书和私钥的--tlsCAFile PEM文件的名称。如果MongoDB实例使用 选项或net.tls.CAFile 设置运行，则为必填项。

该证书的 Extended Key Usage 字段应包含 TLS Web client authentication。

如果你使用 MONGODB-X509 身份验证机制进行身份验证，则还可以在 mongoUri 连接字符串中将其作为用户名输入。

mongodb.ssl.PEMKeyFilePassword

类型：字符串

如果 PEM文件包含加密私钥，则为必填项。指定 PEM文件的密码。您可以使用Ops Manager encryptiontool 加密密码。

备份快照

backup.fileSystemSnapshotStore.gzip.compressionLevel

类型：整型

默认：6

确定 Ops Manager 对基于文件系统的快照应用的压缩程度。此级别介于 0 到 9（含）：

• 0 不提供压缩。

• 1 为 9 可提高压缩程度，但会损失压缩速度。1 级的压缩程度最低，但速度最快。9 级的压缩程度最大，但速度最慢。

注意

更改 File System Store Gzip Compression Level 仅影响新快照。它不会影响现有快照的压缩级别。

对应 File System Store Gzip Compression Level。

brs.restore.digest.method

类型：字符串

Default: SHA1

指定是否为恢复存档文件生成 SHA 校验和和。1

接受的值为 SHA1 或 NONE。

对应 Restore Digest Method。

brs.snapshotSchedule.interval

类型：整型

默认：24

指定两个连续快照之间的时间（以小时为单位）。

接受的值为：

6、8、12 或 24

对应 Snapshot Interval (Hours)

brs.snapshotSchedule.retention.base

类型：整型

默认值：2

指定间隔快照的存储天数。接受的值因brs.snapshotSchedule.interval 的值而异：

brs.snapshotSchedule.interval	接受的值
< 24	2、3、4 或 5。
= 24	2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30.

对应 .Base Retention of Snapshots

brs.snapshotSchedule.retention.daily

类型：整型

默认值：0

指定每日快照的存储天数。

接受的值为：

0, 3, 4, 5, 6, 7, 15, 30, 60, 90, 120, 180 or 360

对应 .Daily Retention of Snapshots

brs.snapshotSchedule.retention.monthly

类型：整型

默认值：1

指定每月快照存储的月数。

接受的值为：

0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 18, 24, 36, 48, 60, 72, and 84

对应 Monthly Retention of Snapshots (in Months)

brs.snapshotSchedule.retention.weekly

类型：整型

默认值：2

指定每周快照的存储周数。

接受的值为：

0, 1, 2, 3, 4, 5, 6, 7, 8, 12, 16, 20, 24, and 52

对应 .Weekly Retention of Snapshots

brs.pitWindowInHours

类型：整型

默认：24

可从特定时间点 (PIT) 恢复的持续时间（以小时为单位）。

对应 .PIT Window

backup.kmip.server.host

类型：字符串

默认：无

指定 KMIP 服务器的主机名。

从MongoDB 4.2.1 开始（和 4.0.14），可以在以逗号分隔的列表中指定多个 KMIP 服务器。

重要

在 4.0.14 或 4.2.1 之前的MongoDB版本中，Ops Manager仅使用KMIP服务器主机名列表中的第一个KMIP主机名。

对应 KMIP Server Host。

backup.kmip.server.port

类型：整型

默认：无

指定 KMIP 服务器的端口。

对应 KMIP Server Port。

backup.kmip.server.ca.file

类型：字符串

默认：无

指定包含一个或多个证书颁发机构的 .PEM 格式文件。

对应 KMIP Server CA File。

mms.backup.snapshot.maxSumFileForWorkersMB

类型：整型

默认：2048

这将设置创建快照时同时保存的文件的最大累积大小（以 MB 为单位）。

mms.backup.snapshot.maxWorkers

类型：整型

默认值：4

在创建快照时，对同时保存的文件数量进行设置。在高延迟环境中存在大量小文件时，增加此设置值可提高备份作业性能。

可查询的快照配置

brs.queryable.connecttimeout

类型：整型

默认值：30

mongod在超时之前等待连接到可查询快照 实例的秒数。

对应 Mongo .Connection Timeout

brs.queryable.expiration

类型：整型

默认：24

启动后可查询快照的持续时间（以小时为单位）。

对应 Expiration (Hours)。

brs.queryable.lruCacheCapacityMB

类型：整型

默认：512

从 JVM 堆中为全局快照缓存分配的大小（以兆字节为单位）。全局快照缓存可将针对同一快照数据的重复查询优化为可查询快照。

重要

MongoDB 不建议更改此值，除非 MongoDB 支持人员指示你更改它。

对应 Read Cache Size (MB)。

brs.queryable.mounttimeout

类型：整型

默认：60

超时之前等待可查询快照准备的秒数。

对应 .Queryable Startup Timeout

brs.queryable.pem.pwd

类型：字符串

如果 Proxy Server PEM File 已加密，则为必需。

注意

更新 Proxy Server PEM File Password 后，重启 Web 服务器以使更改生效。

对应 Proxy Server PEM File Password。

brs.queryable.pem

类型：字符串

如果使用可查询快照，则为必需。PEM 文件，其中包含一个或多个受信任证书的完整证书链及相关私钥。

Proxy Server PEM File 存在以下限制：

• 此 PEM文件必须与用于与Ops Manager (mms.https.PEMKeyFile) 建立 HTTPS 连接的文件不同。

• 此 PEM 文件应使用大于 512 位的密钥长度。建议使用 2048 位 RSA 密钥。

• 此 PEM 文件应使用比 sha1 更强的消息摘要，例如 sha256。

注意

更新 Proxy Server PEM File 后，重启 Web 服务器以使更改生效。

对应 Proxy Server PEM File。

brs.queryable.proxyPort

类型：整型

默认：25999

可查询备份主机的端口。

注意

更新 Proxy Server Port 后，重启 Web 服务器以使更改生效。

对应 Proxy Server Port。

brs.queryable.tls.disabledProtocols

类型：字符串

默认值：SSLv 2 Hello,SSLv 3 ,TLSv 1 ,TLSv 1.1 ,TLSv 1.3

已禁用可查询快照和恢复的 TLS 协议版本。

brs.queryable.tls.disabledCiphers

类型：字符串

Default: TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

当客户端连接到可查询的备份主机时，Ops Manager 实例无法接受的 TLS 密码套件列表。将 TLS 密码套件名称指定为以逗号分隔的列表，条目之间没有空格。

SMTP 电子邮件服务器

有条件。如果将 mms.emailDaoClass设立为SIMPLE_MAILER ，则会出现以下设置。

mms.mail.transport

类型：字符串

Default: smtp

电子邮件提供商指定的传输协议：

• smtp （标准 SMTP）

对应 Transport。

mms.mail.hostname

类型：字符串

默认值：localhost

电子邮件提供商指定的电子邮件主机名。

mms.mail.hostname=mail.example.com

对应 SMTP Server Hostname。

mms.mail.port

类型：数字

默认：25

电子邮件提供商指定的 SMTP 端口号。

对应 SMTP Server Port。

mms.mail.username

类型：字符串

电子邮件帐户的用户名。如果未设置，则默认为禁用 SMTP 身份验证。

对应 Username。

mms.mail.password

类型：字符串

电子邮件帐户的密码。如果留空，此设置将禁用 SMTP 身份验证。

对应 Password。

mms.mail.tls

类型：布尔值

默认值：False

如果传输协议使用 TLS，则将其设置为 true。

对应 Use SSL。

AWS Simple Email Service

有条件。如果将 mms.emailDaoClass设立为AWS_MAILER ，则会出现以下设置。

aws.ses.endpoint

类型：字符串

默认值：https://email.us-east-1.amazonaws.com

设置 AWS SES 的发送API端点。

对应 AWS Endpoint。

aws.accesskey

类型：字符串

AWS 的访问密钥 ID。

对应 AWS Access Key。

aws.secretkey

类型：字符串

AWS 的访问密钥。

对应 AWS Secret Key。

Kubernetes Setup

kubernetes.templates.credentialsFilePath

类型：字符串

YAML文件的路径，该文件包含作为Kubernetes密钥的编程API密钥，用于在Ops Manager项目中创建或更新对象。此文件必须采用 YAML 格式，并且必须存储在/mongodb-ops-manager/ 目录下。此文件对应于Kubernetes Secret Setup 。

apiVersion: v1
kind: Secret
metadata:
  name: organization-secret
  namespace: mongodb
stringData:
  user: ${publicKey}
  publicApiKey: ${privateKey}

kubernetes.templates.projectFilePath

类型：字符串

YAML 文件的路径，其中包含用于链接到 Ops Manager 项目的 ConfigMap。此文件必须采用 YAML 格式，并且必须存储在 /mongodb-ops-manager/ 目录下。对应 Kubernetes ConfigMap Setup。

监控故障转移

您可对多个 MongoDB 助手激活监控功能，从而分发监控任务并提供故障转移。Ops Manager 可在最多 100 个正在运行的 MongoDB 助手之间分配监控任务。每个运行主动监控的 MongoDB 助手均会监控各不相同的一组 MongoDB 进程。对于每个项目，运行主动监控的一个 MongoDB 助手即为主监控器。主监控器会向 Ops Manager 报告集群的状态。当 MongoDB 助手启用或禁用监控时，Ops Manager 会重新分发任务。如果主监控器出现故障，Ops Manager 则会将运行主动监控的另一 MongoDB 助手指定为主监控器。

以下设置调整 Ops Manager 用于确定监控是否不可访问的时间间隔，以及备用代理轮询 Ops Manager 以确定它们是否应接收监控分配的频率。

mms.monitoring.agent.session.timeoutMillis

类型：整型

默认：90000

Ops Manager 用于确定备用代理是否应开始监控的时间间隔。如果 Ops Manager 在指定时间内未收到来自监控的消息，则 Ops Manager 将升级备用代理。将超时配置为低于 90000（90 秒）将导致 Ops Manager 在启动时失败并出现配置错误。

mms.monitoring.agent.standbyCollectionFactor

类型：整型

默认值：4

指定备用代理签入 Ops Manager 以查看是否应开始监控的频率。允许使用以下值：

值	备用助手检查频率
1	每 55 秒
2	每 27 秒
3	每 18 秒
4	每 14 秒一次

非统一内存访问 (NUMA)

mongodb.disable.numa

类型：布尔值

要为头部数据库禁用 NUMA，请使用以下值并按修改自定义设置过程进行操作：

Key	mongodb.disable.numa
Value	true

要了解有关 NUMA 的详情，请参阅 MongoDB 生产说明中的 MongoDB 和 NUMA 硬件。

重要

每个已启用备份守护程序的 Ops Manager 实例都必须安装 numactl 服务。如果未安装 numactl，且此设置设置为 true，则备份任务将失败。

MongoDB Ops Manager可以加密任何备份作业。 使用备份游标而不是头部数据库来加密备份作业。 有关详细信息，请参阅备份守护程序服务。

Datadog 集成

datadog.api.url

类型：字符串

默认值：https://api.datadoghq.com/api/v1

Ops Manager 用于访问 Datadog API 的 URL。

如果您已在本地部署 Datadog，则请启用此自定义参数。将其设为适合您部署的值。

Opsgenie Integration

opsgenie.api.url

类型：字符串

默认值：https://api.opsgenie.com/v2/alerts

Ops Manager 用于访问欧洲国家/地区的 Ops Genie API 的 URL。

如果 Ops Manager 实例在欧洲运行，请启用此自定义参数。然后，将其值设置为 https://api.eu.opsgenie.com/v2/alerts。

有关详细信息，请参阅 Opsgenie 警报文档。

Twilio 集成

要通过短信或 2FA 代码接收警报通知，您必须拥有 Twilio 帐户。

twilio.account.sid

类型：字符串

Twilio 账户 ID。

对应 Account SID。

twilio.auth.token

类型：字符串

Twilio API 令牌。

对应 Twilio Auth Token。

twilio.from.num

类型：字符串

Twilio 电话号码。

对应 Twilio From Number。

通过 Ops Manager 应用程序数据库进行身份验证

mms.password.maxDaysBeforeChangeRequired

类型：数字

密码在过期之前的有效天数。

对应 Days Before Password Change Required。

mms.password.maxDaysInactiveBeforeAccountLock

类型：数字

在 Ops Manager 锁定帐户之前未访问 Ops Manager 网站的最大天数。

对应 Days Inactive Before Account Lock。

mms.password.maxFailedAttemptsBeforeAccountLock

类型：数字

锁定账户前尝试登录失败的次数。只有 Ops Manager 管理员才能解锁锁定的帐户。

对应 Failed Login Attempts Before Account Lock。

mms.password.minChangesBeforeReuse

类型：数字

要记住的之前的密码的数量。你不能将记住的密码作为新密码重复使用。

对应 Password Changes Before Reuse。

mms.login.ratelimit.attemptsAllowed

类型：数字

在超时期间，来自特定 IP 地址的用户可以尝试登录的次数。必须将此设置与 Login Attempts Timeout Period 一起配置。

对应 Login Attempts Allowed Before Timeout。

mms.login.ratelimit.lockedPeriodMinutes

类型：数字

此设置指定：

• 用于确定登录尝试次数是否过多的时间段（以分钟为单位）。

• 恢复登录尝试之前帐户锁定的持续时间。

必须将此设置与 Login Attempts Allowed Before Timeout 一起配置。

重要

下拉菜单列出了此设置的唯一可能值。尝试在下拉列表中未列出的 conf-mms.properties 文件或本地数据库中设置值会导致重启 Ops Manager 实例时出错。

对应 Login Attempts Timeout Period。

mms.user.invitationOnly

类型：布尔值

如果为 true，则新用户只能通过邀请进行注册。邀请函提供了一个显示注册链接的 URL。如果为 false，则新用户在拥有 Ops Manager URL 的情况下可以注册。

对应 Invitation Only Mode。

mms.user.bypassInviteForExistingUsers

类型：布尔值

默认值：False

当您将 mms.userSvcClass 设为 UserSvcDb 时，会出现此复选框。

值	结果
true	无需邀请即可将现有用户添加到任何组织或项目。 Ops Manager 会删除所有待处理邀请并使之失效。 新用户继续收到邀请，并且必须接受邀请。
false	所有用户都会继续收到邀请，并且必须接受邀请。

对应 Bypass Invitation Mode。

mms.user.passwordHashIterations

类型：数字

pbkdf2 哈希算法的迭代次数。

对应 Password Hashing Iterations。

通过 LDAP 进行身份验证

这些设置将 Ops Manager 配置为使用 LDAP 服务器进行身份验证。如果使用 LDAP 身份验证，用户必须属于 LDAP 群组才能登录 Ops Manager。您必须为每个 Ops Manager用户角色创建 LDAP 组。

以 mms.ldap.global.role 将 Ops Manager 全局角色分配给指定 LDAP 组的成员。使用 LDAP User Group 设置中指定的 LDAP 属性所使用的格式指定群组。您可以使用 ;; 分隔符来指定多个组。要更改默认分隔符，请使用 mms.ldap.group.separator 设置。每个 Ops Manager 全局角色提供对部署中所有 Ops Manager 项目的访问级别。要向特定群组提供访问权限，请使用群组级角色。

mms.ldap.bindDn

类型：字符串

用于执行针对其他用户的搜索的 LDAP 用户。

mms.ldap.bindDn=authUser@acme.example.com

对应 LDAP Bind Dn。

mms.ldap.bindPassword

类型：字符串

搜索用户的密码。

mms.ldap.bindPassword=<password>

对应 LDAP Bind Password。

mms.ldap.global.role.automationAdmin

类型：字符串

成员在Ops Manager中具有全局自动化管理员角色的LDAP群组。使用 LDAP User Group 设置中指定的LDAP属性所使用的格式指定项目。您可以使用 ;; 分隔符指定多个项目。要更改默认分隔符，请使用 mms.ldap.project.separator 设置。

mms.ldap.global.role.automationAdmin=CN\=MMS-AutomationAdmin,OU\=MMS,OU\=acme Groups,DC\=acme,DC\=example,DC\=com

每个 Ops Manager 全局角色提供对部署中所有 Ops Manager 项目的访问级别。要提供对特定项目的访问权限，请使用群组级角色。

对应 LDAP Global Role Automation Admin。

mms.ldap.global.role.backupAdmin

类型：字符串

LDAP 组，其成员在 Ops Manager 中拥有全局备份管理员角色。

mms.ldap.global.role.backupAdmin=CN\=MMS-BackupAdmin,OU\=MMS,OU\=acme Groups,DC\=acme,DC\=example,DC\=com

对应 LDAP Global Role Backup Admin。

mms.ldap.global.role.monitoringAdmin

类型：字符串

LDAP 组，其成员在 Ops Manager 中具有全局自动化管理员角色。

mms.ldap.global.role.monitoringAdmin=CN\=MMS-MonitoringAdmin,OU\=MMS,OU\=acme Groups,DC\=acme,DC\=example,DC\=com

对应 LDAP Global Role Monitoring Admin。

mms.ldap.global.role.owner

类型：字符串

具有Ops Manager部署的全部特权的LDAP群组，包括对所有Ops Manager项目的完全访问权限和所有管理权限。指定LDAP群组中的用户将在Ops Manager中获得全局所有者角色。使用 LDAP User Group 设置中指定的LDAP属性所使用的格式指定项目。

mms.ldap.global.role.owner=CN\=MMSGlobalOwner,OU\=MMS,OU\=acme Groups,DC\=acme,DC\=example,DC\=com

对应 LDAP Global Role Owner。

mms.ldap.global.role.readOnly

类型：字符串

LDAP 群组，其成员在 Ops Manager 中具有全局只读角色。

mms.ldap.global.role.readOnly=CN\=MMS-ReadOnly,OU\=MMS,OU\=acme Groups,DC\=acme,DC\=example,DC\=com

对应 LDAP Global Role Read Only。

mms.ldap.global.role.userAdmin

类型：字符串

LDAP 群组，其成员在 Ops Manager 中拥有全局用户管理员角色。

mms.ldap.global.role.userAdmin=CN\=MMS-UserAdmin,OU\=MMS,OU\=acme Groups,DC\=acme,DC\=example,DC\=com

对应 LDAP Global Role User Admin。

mms.ldap.group.baseDn

类型：字符串

默认设置：LDAP User Base Dn 值

Ops Manager 用于搜索群组的基本可分辨名称 (DN)。如果留空，则此设置将使用默认值。

mms.ldap.group.baseDn=OU\=groups,DC\=acme,DC\=com

对应 LDAP Group Base Dn。

mms.ldap.group.member

类型：字符串

包含用户可分辨名称 (DN) 的群组条目上的字段。通常使用 groupOfNames 或 groupOfUniqueNames 对象类。

mms.ldap.group.member=member

对应 LDAP Group Member Attribute。

mms.ldap.group.separator

类型：字符串

默认值：;;

要设置 LDAP 分隔符，请按照修改自定义设置中的步骤操作并使用以下值：

Key	mms.ldap.group.separator
Value	<desired-separator>

每个全局角色值都有一个带分隔符的项目列表：

"dbas,sysadmins"

如果组值包含分隔符，则必须将分隔符设置为另一个值。

例子

如果组值为 "CN\=foo,DN\=bar"，分隔符为 ,，则 Ops Manager 会将 "CN\=foo,DN\=bar" 解析为两个元素，而不是对单个群组的描述。

mms.ldap.referral

类型：字符串

LDAP 字段，用来设置如何处理引用。接受两个值：

• ignore：忽略引用。

• follow：自动关注任何引用。

对应 LDAP Referral。

mms.ldap.ssl.CAFile

类型：字符串

包含一个或多个 PEM 格式受信任证书的文件。如果使用的是 LDAPS，且服务器使用的证书并非来自知名的证书颁发机构，请使用此设置。

mms.ldap.ssl.CAFile=/opt/CA.pem

对应 LDAP SSL CA File。

mms.ldap.ssl.PEMKeyFile

类型：字符串

包含客户端证书和私钥的文件。当 TLS LDAP服务器需要客户端证书时，请使用此设置。

mms.ldap.ssl.PEMKeyFile=/opt/keyFile.pem

对应 LDAP SSL PEM Key File。

mms.ldap.ssl.PEMKeyFilePassword

类型：字符串

LDAP SSL PEM Key File 的密码。如果 PEMKeyFile 已加密，请使用此设置。

mms.ldap.ssl.PEMKeyFilePassword=<password>

对应 LDAP SSL PEM Key File Password。

mms.ldap.url

类型：字符串

LDAP 或 LDAPS 服务器的 URI 。

mms.ldap.url=ldaps://acme-dc1.acme.example.com:3890

对应 LDAP URI。

mms.ldap.user.baseDn

类型：字符串

Ops Manager 用于搜索用户的基本可分辨名称 (DN)。

使用 \ 转义 = 标志。

mms.ldap.user.baseDn=DC\=acme,DC\=example,DC\=com

对应 LDAP User Base Dn。

mms.ldap.user.email

类型：字符串

Default: mail per RFC2256

包含用户电子邮件地址的 LDAP 用户属性。成功进行 LDAP 身份验证后，Ops Manager 会将指定的 LDAP 属性与 Ops Manager 用户记录中的电子邮件地址同步。

mms.ldap.user.email=mail

对应 LDAP User Email。

mms.ldap.user.firstName

类型：字符串

Default: givenName per RFC2256

包含用户名字的 LDAP 用户属性。成功进行 LDAP 身份验证后，Ops Manager 会将指定的 LDAP 属性与 Ops Manager 用户记录中的名字同步。

mms.ldap.user.firstName=givenName

对应 LDAP User First Name。

mms.ldap.user.group

类型：字符串

包含用户所属LDAP群组列表的LDAP用户属性。 LDAP属性可以使用任何格式列出项目，包括通用名称 (cn) 或标识名 (dn)。此配置文件中指定项目的所有Ops Manager设置必须与所选格式匹配。

重要

Ops Manager已弃用mms.ldap.user.group 。使用mms.ldap.group.member 。

如果你为以下内容提供值：

• 无论是 mms.ldap.user.group 还是 mms.ldap.group.member， Ops Manager都会使用 mms.ldap.group.member 并忽略 mms.ldap.user.group。

• mms.ldap.user.group 只是，Ops Manager 无法识别嵌套 LDAP 群组中的用户成员身份。

mms.ldap.user.group=memberOf

对应 LDAP User Group。

mms.ldap.user.lastName

类型：字符串

Default: surname per RFC2256

包含用户姓氏的 LDAP 用户属性。成功进行 LDAP 身份验证后，Ops Manager 会将指定的 LDAP 属性与 Ops Manager 用户记录中的姓氏同步。

mms.ldap.user.lastName=sn

对应 LDAP User Last Name。

mms.ldap.user.searchAttribute

类型：字符串

用于 LDAP 搜索的 LDAP 字段。这通常是用户名或电子邮件地址。此字段的值也用作 Ops Manager 用户名。

mms.ldap.user.searchAttribute=<myAccountName>

对应 LDAP User Search Attribute。

mms.login.newDeviceNotification.enabled

类型：布尔值

应通知用户其已从新设备登录的标识符。

对应 New Device Login Notification。

通过 SAML 进行身份验证

mms.saml.idp.uri

类型：字符串

用于协调单点登录的身份提供者 (IdP) 的 URI。它可能会被称为 EntityId 或身份提供者颁发者。

mms.saml.sso.url

类型：字符串

用户尝试登录时 Ops Manager 调用的单点登录终结点的 URL。

mms.saml.slo.url

类型：字符串

当用户尝试登出时，Ops Manager 调用的单点退出登录终结点的 URL。如果设置，当用户尝试登出 Ops Manager 时，他们将登出 IdP。如果留空，则登出 Ops Manager 不会将用户从其 IdP 会话登出。

mms.saml.x509.cert

类型：字符串

由 IdP 提供的证书，Ops Manager 使用该证书向 IdP 验证其有效性。

mms.saml.ssl.PEMKeyFile

类型：字符串

SP 用于签署请求的证书的 PEM 文件的绝对路径，包含私钥和公钥。如果将其留空，则 Ops Manager 不会向 IdP 签署 SAML 身份验证请求，也无法加密 SAML 断言。

mms.saml.ssl.PEMKeyFilePassword

类型：字符串

如果 PEM 文件包含加密私钥，则为必填项。为 PEM 文件指定密码。

mms.saml.encrypted.assertions

类型：布尔值

指示 IdP 是否加密其发送到MongoDB OpsMongoDB Ops Manager Manager的断言的标志。

mms.saml.signedAssertions

类型：布尔值

默认值：true

指示 IdP 是否签署其发送到MongoDB Ops MongoDB Ops ManagerManager的断言的标志。

重要

确保断言或响应已签名。 如果断言或响应未签名，配置将无法通过验证， MongoDB Ops Manager将返回错误。MongoDB Ops Manager

对应 SAML Signed Assertions。

mms.saml.signedMessages

类型：布尔值

默认值：true

指示 IdP 是否对其发送到MongoDB OpsMongoDB Ops Manager Manager的响应进行签名的标志。

重要

确保断言或响应已签名。 如果断言或响应未签名，配置将无法通过验证， MongoDB Ops Manager将返回错误。MongoDB Ops Manager

对应 SAML Signed Messages。

mms.saml.signature.algorithm

类型：字符串

对 IdP 发送和接收的签名进行加密的算法。

您必须使用以下完整的 W3.org签名算法值：

• http://www.w3.org/2001/04/xmldsig-more#rsa-sha1

• http://www.w3.org/2000/09/xmldsig#dsa-sha1

• http://www.w3.org/2001/04/xmldsig-more#rsa-sha256

• http://www.w3.org/2001/04/xmldsig-more#rsa-sha384

• http://www.w3.org/2001/04/xmldsig-more#rsa-sha512

重要

您必须指定完整的 W3.org 签名算法URL，而不是简单的 string 值。使用简单的 string 值（例如 rsa-sha256）会导致 Ops Manager 返回 unauthorized 错误，因为 身份提供程序 无法正确验证签名。

示例：

mms.saml.signature.algorithm=http://www.w3.org/2001/04/xmldsig-more#rsa-sha256

mms.saml.global.role.owner

类型：字符串

SAML 群组成员属性中的群组，其成员拥有此部署的全部特权，包括对所有群组的完全访问权限和所有管理权限。

mms.saml.global.role.automationAdmin

类型：字符串

SAML 群组成员属性中成员具有 Global Automation Admin角色的群组。

mms.saml.global.role.backupAdmin

类型：字符串

SAML 群组成员属性中成员具有 Global Backup Admin角色的群组。

mms.saml.global.role.monitoringAdmin

类型：字符串

SAML 群组成员属性中成员具有 Global Monitoring Admin角色的群组。

mms.saml.global.role.userAdmin

类型：字符串

SAML 群组成员属性中成员具有 Global User Admin角色的群组。

mms.saml.global.role.readOnly

类型：字符串

SAML 群组成员属性中成员具有 Global Read Only角色的群组。

mms.saml.user.firstName

类型：字符串

包含用户名的 SAML 用户属性。

mms.saml.user.lastName

类型：字符串

包含用户姓氏的 SAML 用户属性。

mms.saml.user.email

类型：字符串

包含用户电子邮件地址的 SAML 用户属性。

mms.saml.group.member

类型：字符串

默认值：groups

SAML 属性，包含 Ops Manager 用来将角色映射到项目和组织的群组的列表。

对应 SAML Group Member Attribute。

通过 OIDC 进行身份验证

您可以将Ops Manager配置为使用 OIDC，通过外部身份提供商对用户进行身份验证。有关完整的设置过程，请参阅为 OIDC 身份验证配置Ops Manager用户。

mms.oidc.issuer.uri

类型：字符串

IdP 的发行者 URI 或 OIDC元数据发现文档URL 。

对应 Issuer URI。

mms.oidc.client.id

类型：字符串

IdP 分配给Ops Manager 的客户端标识符。

对应 Client ID。

mms.oidc.client.secret

类型：字符串

IdP 分配给Ops Manager 的客户端密钥。

对应 Client Secret。

mms.oidc.customCaCertificate

类型：字符串

当Ops Manager连接到 IdP 时要信任的一个或多个 PEM 编码的证书颁发机构证书。当 IdP 使用自签名或私有证书颁发机构时，请使用此设置。您可以连接多个证书。

对应 Custom CA Certificate (PEM)。

mms.oidc.pkce.enabled

类型：布尔值

默认值：true

为授权代码流启用 PKCE。 Ops Manager默认启用此设置。仅当 IdP 不支持机密客户端的 PKCE 时，才禁用此设置。

对应 Enable PKCE (Proof Key for Code Exchange)。

mms.oidc.requestedScopes

类型：字符串

Ops Manager从授权端点请求的范围列表。

对应 Requested Scopes。

mms.oidc.sp.baseUrl

类型：字符串

OIDC 服务提供商的基本URL 。如果您不设立此值， Ops Manager将使用 mms.centralUrl。当您需要不同的URL来访问权限Ops Manager时，请使用此设置。

对应 Service Provider Base URL。

mms.oidc.global.role.owner

类型：字符串

以逗号分隔的 IdP 群组列表，其成员接收 Global Owner角色。全局所有者对此部署具有全部特权，包括所有管理权限。

对应 Global Role Owner Groups。

mms.oidc.global.role.automationAdmin

类型：字符串

以逗号分隔的 IdP 群组列表，其成员接收 Global Automation Admin角色。

对应 Global Automation Admin Groups。

mms.oidc.global.role.backupAdmin

类型：字符串

以逗号分隔的 IdP 群组列表，其成员接收 Global Backup Admin角色。

对应 Global Backup Admin Groups。

mms.oidc.global.role.monitoringAdmin

类型：字符串

以逗号分隔的 IdP 群组列表，其成员接收 Global Monitoring Admin角色。

对应 Global Monitoring Admin Groups。

mms.oidc.global.role.userAdmin

类型：字符串

以逗号分隔的 IdP 群组列表，其成员接收 Global User Admin角色。

对应 Global User Admin Groups。

mms.oidc.global.role.readOnly

类型：字符串

以逗号分隔的 IdP 群组列表，其成员接收 Global Read Only角色。

对应 Global Read Only Groups。

mms.oidc.user.claims.firstName

类型：字符串

默认值：given_name

包含用户名字的声明。

对应 OIDC Claim for User First Name。

mms.oidc.user.claims.lastName

类型：字符串

默认值：family_name

包含用户姓氏的声明。

对应 OIDC Claim for User Last Name。

mms.oidc.user.claims.email

类型：字符串

默认值：电子邮件

包含用户电子邮件解决的声明。

对应 OIDC Claim for User Email。

mms.oidc.group.claims.member

类型：字符串

默认：群组

声明包含Ops Manager用于将角色映射到组织和项目的群组列表。

对应 OIDC Claim for Group Member。

多重身份验证 (MFA)

mms.multiFactorAuth.level

类型：字符串

默认：关闭

配置双重身份验证“级别”：

设置	说明
OFF	禁用双重身份验证。Ops Manager 不使用双重身份验证。
OPTIONAL	用户可选择为其 Ops Manager 帐户设置双重身份验证。
REQUIRED_FOR_GLOBAL_ROLES	拥有全局角色的用户必须设置双重身份验证。所有其他用户均可选择使用双重身份验证。
REQUIRED	所有用户都必须为其 Ops Manager 帐户设置双重身份验证。

建议使用双重身份验证，以确保 Ops Manager 部署的安全性。

警告

如果通过配置文件启用 mms.multiFactorAuth.level，则必须先创建用户账户，然后再更新配置文件。否则，你将无法登录到 Ops Manager。

注意

如果启用了 Twilio 集成（可选），则请确保 Ops Manager 服务器可访问 twilio.com 域名。

对应 Multi-factor Auth Level。

mms.multiFactorAuth.allowReset

类型：布尔值

默认值：False

设置为 true 时，Ops Manager 允许用户通过电子邮件重置其双重身份验证设置，其方式与重置密码类似。

要重置双重身份验证，用户必须：

• 能够通过与用户帐户关联的地址接收电子邮件。

• 知道用户帐户密码。

• 知道用户所属每个 Ops Manager 项目的代理 API 密钥。

对应 Multi-factor Auth Allow Reset。

mms.multiFactorAuth.issuer

类型：字符串

如果 Google 身份验证器提供双重身份验证，则此字符串是 Google 身份验证器应用中的 issuer。如果留空，则 issuer 是 Ops Manager 安装的域名。

对应 Multi-factor Auth Issuer。

mms.multiFactorAuth.require

类型：布尔值

默认值：False

当设置为 true 时，Ops Manager 将要求用户进行双重身份验证才能登录或在应用程序中执行某些破坏性操作。

如果配置了 Twilio 集成，用户可通过 Google 身份验证器、短信或语音呼叫获取第二因素令牌。否则，提供双重身份验证的唯一机制是 Google 身份验证器。

reCaptcha 和会话长度

reCaptcha.enabled.registration

类型：布尔值

默认：false

表示你希望新用户在注册使用 Ops Manager 时使用 reCaptcha 验证来验证自己。

设置为 true 以要求在新用户注册时进行 reCaptcha 验证。

此设置需要 reCaptcha 帐户。

对应 ReCaptcha Enabled On Registration。

reCaptcha.enabled

类型：布尔值

默认：false

表示您希望用户在登录 Ops Manager 时使用 reCaptcha 验证来验证自身。

设置为 true 以在用户登录时要求进行 reCaptcha 验证。

此设置需要 reCaptcha 帐户。

对应于 ReCaptcha Enabled。

reCaptcha.private.key

类型：字符串

与账户关联的 ReCaptcha 私钥。

对应 ReCaptcha Private Key。

reCaptcha.public.key

类型：字符串

与账户关联的 ReCaptcha 公钥。

对应 ReCaptcha Public Key。

mms.session.maxHours

类型：数字

针对 Ops Manager 网站的会话到期前的小时数。

注意

Session Max Hours 反映了 Ops Manager 会话的总时间，而不仅仅是空闲时间。超过 Session Max Hours 时，活动会话和空闲会话都会过期。

将此值设置为 0 以仅使用浏览器会话 Cookie。

对应 Session Max Hours。

mms.session.mode

类型：字符串

None 或 Idle。

None 禁用闲置会话超时。Idle 在一段时间不活动后会将用户注销。

mms.session.idleTimeoutMinutes

类型：数字

会话在没有用户活动的情况下可以保持活跃状态的最长时间（以分钟为单位）。