在不停机的情况下轮换 TLS 证书

资格

MongoDB Agent 仅对符合以下所有要求的进程应用零停机轮换：

• 进程类型为mongod 或mongos 。

• MongoDB 版本为 5.0 或更高版本。

• 已在进程上配置 TLS。

• 部署的所有节点均符合上述要求。

MongoDB Agent 无法对以下任何类别中的进程应用零停机旋转。在 Ops Manager 用户界面 中，不合格部署的复选框处于禁用状态。通过自动化 API，Ops Manager 会拒绝不合格部署的配置更新，并返回 HTTP 400 错误，说明原因：

先决条件

在旋转证书之前，请验证以下内容：

• 您的部署由 MongoDB Ops Manager 自动化管理。

• mongod部署中的所有mongos 和 进程运行MongoDB.5 0或更高版本。

• 已在部署中启用 TLS。

• 您的新 TLS 证书有效，并在原始配置路径上正确覆盖。

轮换 TLS 证书

使用自动化 API 或 MongoDB Ops Manager 用户界面 trigger 证书轮换。

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" \
     --digest \
     --header "Accept: application/json" \
     --request GET \
     "https://<OpsManagerHost>/api/public/v1.0/groups/{GROUP-ID}/automationConfig"

curl --user "{PUBLIC-KEY}:{PRIVATE-KEY}" \
     --digest \
     --header "Accept: application/json" \
     --header "Content-Type: application/json" \
     --request PUT \
     --data @automation-config.json \
     "https://<OpsManagerHost>/api/public/v1.0/groups/{GROUP-ID}/automationConfig"

旋转状态和持久性

MongoDB Agent 会持久保存每次旋转的结果，以便在代理重启后仍可从上次停止的位置继续执行。

每当自动化配置更新在一个或多个进程上轮换证书时，MongoDB Ops Manager 都会在项目的操作日志中记录 TLS_CERTIFICATES_ROTATED 事件。使用此事件Atlas 审核证书轮换历史。

重试行为

如果 rotateCertificates 命令失败，MongoDB Agent 将返回错误代码 128 (TlsCertificatesRotationErr)。Ops Manager 在自动化状态面板中显示“TLS 证书轮换错误”，并在下一个收敛时钟重新调度该步骤。修正磁盘上的证书文件以解决错误。

如果命令成功，但 MongoDB Agent 无法保留结果，它会自动重试。

代理如何应用旋转

当 MongoDB Agent 检测到自动化配置中的 certificatesVersion 增量时，会检查每个符合条件的进程是否符合资格要求，并运行 db.adminCommand({ rotateCertificates: 1 })。