使用密钥文件身份验证部署分片集群

启动配置服务器副本集中的每个 mongod。包括 keyFile 设置。通过 keyFile 设置可以执行内部/节点身份验证和基于角色的访问控制。

您可以通过配置文件或命令行指定 mongod 设置。

配置文件

如果使用配置文件，请将 security.keyFile 设置为密钥文件的路径，将 sharding.clusterRole 设置为 configsvr，并将 replication.replSetName 设置为所需的配置服务器副本集名称。

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: configsvr
replication:
  replSetName: <setname>

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定net.bindIp设置。

启动 mongod，同时指定 --config 选项和配置文件的路径。

mongod --config <path-to-config-file>

命令行

如果使用命令行参数，请使用 --keyFile、--configsvr 和 --replSet 参数启动 mongod。

mongod --keyFile <path-to-keyfile> --configsvr --replSet <setname> --dbpath <path>

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定--bind_ip 。

通过本地主机接口连接到副本集的节点。

通过 本地主机接口mongoshmongod 将 连接到 实例之一。您必须在与 实例相同的物理机器上运行mongosh mongod。

只有当尚未为部署创建任何用户，本地主机接口才可用。本地主机接口会在创建第一个用户后关闭。

rs.initiate() 方法启动副本集，可以获取可选的副本集配置文档。 在副本集配置文档中，包括：

• _id。_id 必须 与传递给 mongod 的 --replSet 参数匹配。

• members字段。 members 字段是一个数组，每个副本集的成员都需要一个文档。

• configsvr字段。 配置服务器副本集的 configsvr 字段必须设置为 true。

有关副本集配置文档的更多信息，请参阅副本集配置。

使用 rs.initiate() 方法和配置文档启动副本集：

rs.initiate(
  {
    _id: "myReplSet",
    configsvr: true,
    members: [
      { _id : 0, host : "cfg1.example.net:27019" },
      { _id : 1, host : "cfg2.example.net:27019" },
      { _id : 2, host : "cfg3.example.net:27019" }
    ]
  }
)

在启用访问控制的情况下启动启动副本集的每个节点。

运行带有 keyFile 参数的 mongod 会强制执行内部/成员身份验证和角色访问控制。

使用配置文件或命令行启动副本集中的每个 mongod。

配置文件

如果使用配置文件，请将 security.keyFile 选项设置为密钥文件的路径，将 replication.replSetName 选项设置为副本集的所需名称，将 sharding.clusterRole 选项设置为 shardsvr。

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: shardsvr
replication:
  replSetName: <replSetName>
storage:
   dbPath: <path>

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定net.bindIp设置。

启动 mongod，同时指定 --config 选项和配置文件的路径。

mongod --config <path-to-config-file>

命令行

如果使用命令行选项，在启动组件时，请指定 --keyFile、replSet 和 --shardsvr 参数，如以下示例所示：

mongod --keyFile <path-to-keyfile> --shardsvr --replSet <replSetName>  --dbpath <path>

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定--bind_ip 。

通过本地主机接口连接到副本集的节点。

通过 本地主机接口mongoshmongod 将 连接到 实例之一。您必须在与 实例相同的物理机器上运行mongosh mongod。

只有当尚未为部署创建任何用户，本地主机接口才可用。本地主机接口会在创建第一个用户后关闭。

启动新副本集。

从mongosh运行rs.initiate()方法。

rs.initiate() 可以接受一个可选的副本集配置文档。在复制集配置文档中，包括：

• _id 字段设置为在 replication.replSetName 或 --replSet 选项中指定的副本集名称。

• members 数组，为副本集的每个节点包含一个文档。

以下示例会启动一个三节点副本集。

rs.initiate(
  {
    _id : "myReplSet",
    members: [
      { _id : 0, host : "s1-mongo1.example.net:27018" },
      { _id : 1, host : "s1-mongo2.example.net:27018" },
      { _id : 2, host : "s1-mongo3.example.net:27018" }
    ]
  }
)

rs.initiate() 触发选举，并选出一名节点担任主节点。

在继续之前连接到主节点。使用 rs.status() 查找主节点。

创建分片本地用户管理员（可选）。

使用 db.createUser() 方法添加用户。该用户应在 admin 数据库中至少拥有 userAdminAnyDatabase 角色。

您必须连接到主节点才能创建用户。

以下示例在 admin 数据库上创建具有 userAdminAnyDatabase 角色的用户 fred。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

根据提示输入密码。有关内置角色和与数据库管理操作相关的角色的完整列表，请参阅数据库用户角色。

以分片本地用户管理员身份进行身份验证（可选）。

对 admin 数据库进行身份验证。

在mongosh中，使用db.auth()进行身份验证。例如，以下身份验证为用户管理员fred ：

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

或者，使用-u <username> 、 -p <password>和--authenticationDatabase参数将新的mongosh实例连接到主副本集成员。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果没有为-p命令行选项指定密码， mongosh会提示输入密码。

创建分片本地集群管理员（可选）。

分片本地集群管理员用户具有 clusterAdmin 角色，可提供允许访问复制操作的权限。

有关与副本集操作相关的角色的完整列表，请参阅集群管理角色。

在 admin 数据库中创建集群管理员用户并分配 clusterAdmin 角色：

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

根据提示输入密码。

请参阅集群管理角色，获取与副本集和分片集群操作相关的内置角色的完整清单。

将mongos连接到集群

使用配置文件或命令行参数启动 mongos，指定密钥文件。

配置文件

如果使用配置文件，请将 security.keyFile 设置为密钥文件的路径，将 sharding.configDB 设置为副本集名称和至少一个采用 <replSetName>/<host:port> 格式的副本集成员。

security:
  keyFile: <path-to-keyfile>
sharding:
  configDB: <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定net.bindIp设置。

启动 mongos，同时指定 --config 选项和配置文件的路径。

mongos --config <path-to-config>

命令行

如果使用命令行参数，则启动 mongos，并指定 --keyFile 和 --configdb 参数。

mongos --keyFile <path-to-keyfile> --configdb <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

根据配置需要包括其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员运行在不同的主机上，请指定--bind_ip 。

通过本地主机接口连接到mongos 。

通过 本地主机接口mongoshmongos 将 连接到 实例之一。您必须在与 实例相同的物理机器上运行mongosh mongos。

只有当尚未为部署创建任何用户，本地主机接口才可用。本地主机接口会在创建第一个用户后关闭。

创建用户管理员。

使用 db.createUser() 方法添加用户。该用户应在 admin 数据库中至少拥有 userAdminAnyDatabase 角色。

以下示例在 admin 数据库上创建 fred 用户：

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd:  passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

有关内置角色和与数据库管理操作相关的角色的完整列表，请参阅数据库用户角色。

以用户管理员身份进行身份验证。

使用 db.auth() 以用户管理员身份进行身份验证，才能创建其他用户：

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

根据提示输入密码。

或者，使用-u <username> 、 -p <password>和--authenticationDatabase "admin"参数将新的mongosh会话连接到目标副本集节点。您必须使用本地主机异常才能连接到mongos 。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果没有为-p命令行选项指定密码， mongosh会提示输入密码。

创建集群管理的管理用户

集群管理员用户具有 clusterAdmin 角色，该角色可授予对复制和分片操作的访问权限。

在 admin 数据库中创建 clusterAdmin 用户。

以下示例在admin数据库上创建用户ravi 。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

请参阅集群管理角色，获取与副本集和分片集群操作相关的内置角色的完整清单。

创建其他用户（可选）。

创建用户，以允许客户端连接并访问分片集群。有关可用的内置角色，例如 read 和 readWrite ，请参阅数据库用户角色。您可能还需要其他管理用户。有关用户的更多信息，请参阅用户。

要创建其他用户，必须以具有 userAdminAnyDatabase 或 userAdmin 角色的用户身份进行身份验证。