自己管理型シャーディングされたクラスターをキーファイル認証に更新（ダウンタイムなし）

管理者ユーザーを作成します。

db.createUser()メソッドを使用して管理者ユーザーを作成し、そのユーザーに次のロールを割り当てます。

• clusterAdminデータベース上のadmin

• userAdminデータベースのadmin ロール

シャーディングされたクラスターでメンテナンス操作またはユーザー管理操作を実行するクライアントは、このチュートリアルの完了時にこのユーザーとして認証する必要があります。 このユーザーをここで作成して、認証を強制した後にクラスターにアクセスできるようにします。

admin = db.getSiblingDB("admin");
admin.createUser(
  {
    user: "admin",
    pwd: "<password>",
    roles: [
      { role: "clusterAdmin", db: "admin" },
      { role: "userAdmin", db: "admin" }
    ]
  }
);

任意: クライアント アプリケーション用に追加のユーザーを作成します。

認証を強制する前に、管理者ユーザーに加えて、追加のユーザーを作成できます。 これにより、認証を完全に強制すると、シャーディングされたクラスターにアクセスできるようになります。

db.getSiblingDB("marketing").createUser(
  {
    "user": "joe",
    "pwd": "<password>",
    "roles": [ { "role" : "readWrite", "db" : "marketing" } ]
  }
)

MongoDB が提供するロールについては、「データベースユーザー ロール」を参照してください。

ユーザーを追加する方法の詳細については、「ユーザーを追加する 」チュートリアルを参照してください。 新しいユーザーを追加するときは、セキュリティに関するベストプラクティスを考慮してください。

オプション: クライアント アプリケーションを更新して認証情報を指定します。

シャーディングされたクラスターは現在認証を強制していませんが、シャーディングされたクラスターに接続するときに認証資格情報を指定するようにクライアント アプリケーションを更新することはできます。 これにより、このチュートリアルの完了時に接続が失われるのを防ぐことができます。

mongosh  --username "joe" --password "<password>" \
  --authenticationDatabase "marketing" --host mongos1.example.net:27017

新しいmongos 構成ファイルを作成します。

各mongosについて:

1. 既存のmongos構成ファイルをコピーして、 <filename>-secure.conf （Windows を使用している場合は.cfg ）などの異なる名前を付けます。 この新しい構成ファイルを使用して、 mongosをシャーディングされたクラスターで認証を強制するように移行します。 バックアップ目的で元の構成ファイルを保持します。

2. 新しい構成ファイルに、次の設定を追加します。

   • security.transitionToAuth に設定 true

   • security.keyFile にキーファイルのパスを設定します。

     別の内部認証メカニズムを使用する場合は、そのメカニズムに適した設定を指定します。

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

   新しい構成ファイルには、 mongosが以前に使用していたすべての構成設定と新しいセキュリティ設定が含まれている必要があります。

新しい構成ファイルで一度に 1mongos つずつ、 を再起動します。

mongosインスタンスを一度に 1 つのmongosで再起動する手順に従います。

1. シャットダウンするには、 mongosに接続します。

2. adminデータベースに対してdb.shutdownServer()メソッドを使用して、 mongosを安全にシャットダウンします。

   db.getSiblingDB("admin").shutdownServer()

3. 新しい構成ファイルでmongosを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongos-secure.confの場合:

   mongos --config <path>/mongos-secure.conf

   ここで、 <path>は新しい構成ファイルを含むフォルダーへのシステム パスを表します。

シャーディングされたクラスター内のすべてのmongos mongosインスタンスが再起動されるまで、次の インスタンスに対して再起動プロセスを繰り返します。

新しいmongod 構成ファイルを作成します。

コンフィギュレーションサーバーのレプリカセット内の各mongodについて、

1. 既存のmongod構成ファイルをコピーして、 <filename>-secure.conf （Windows を使用している場合は.cfg ）などの異なる名前を付けます。 この新しい構成ファイルを使用して、 mongodをシャーディングされたクラスターで認証を強制するように移行します。 バックアップ目的で元の構成ファイルを保持します。

2. 新しい構成ファイルに、次の設定を追加します。

   • security.transitionToAuth に設定 true

   • security.keyFile にキーファイルのパスを設定します。

     別の内部認証メカニズムを使用する場合は、そのメカニズムに適した設定を指定します。

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

新しい構成ファイルで一度に 1mongod つずつ、 を再起動します。

セカンダリノードから始めて、一度に 1 つのノードずつレプリカセットを再起動します。

1. セカンダリノードを一度に 1 つずつ再起動するには、

   1. mongodに接続し、 adminデータベースに対してdb.shutdownServer()メソッドを使用して、 mongodを安全にシャットダウンします。

      db.getSiblingDB("admin").shutdownServer()

   2. 新しい構成ファイルでmongodを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongod-secure.confの場合:

      mongod --config <path>/mongod-secure.conf

      ここで、 <path>は新しい構成ファイルを含むフォルダーへのシステム パスを表します。

   このメンバーが起動したら、次のセカンダリメンバーに対して を繰り返します。

2. すべてのセカンダリ メンバーが再起動して起動したら、プライマリを再起動します。

   1. mongodに接続します。

   2. プライマリ を解任し、選挙を するには、rs.stepDown() メソッドを使用します。trigger

      rs.stepDown()

      rs.status()メソッドを使用して、レプリカセットで新しいプライマリが選択されたことを確認できます。

   3. プライマリを解任し、新しいプライマリが選出されたら、 adminデータベースに対してdb.shutdownServer()メソッドを使用して古いプライマリをシャットダウンします。

      db.getSiblingDB("admin").shutdownServer()

   4. 新しい構成ファイルでmongodを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongod-secure.confの場合:

      mongod --config <path>/mongod-secure.conf

      ここで、 <path>は新しい構成ファイルを含むフォルダーへのシステム パスを表します。

transitionToAuthmongos構成ファイルから を削除します。

security.transitionToAuthmongosこのチュートリアル中に作成された 構成ファイルから キーとその値を削除します。チュートリアルに追加されたsecurity.keyFile設定はそのままにします。

security:
   keyFile: <path-to-keyfile>

mongos更新された構成ファイルを使用して を再起動します。

手順に従って、 mongosインスタンスをmongosごとに再起動します。

1. シャットダウンするには、 mongosに接続します。

2. adminデータベースに対してdb.shutdownServer()メソッドを使用して、 mongosを安全にシャットダウンします。

   db.getSiblingDB("admin").shutdownServer()

3. 更新された構成ファイルでmongosを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、更新された構成ファイルの名前がmongos-secure.confの場合:

   mongos --config <path>/mongos-secure.conf

transitionToAuthmongod構成ファイルから を削除します。

このチュートリアル中に作成されたコンフィギュレーションサーバーの構成ファイルからsecurity.transitionToAuthキーとその値を削除します。 チュートリアルに追加されたsecurity.keyFile設定はそのままにします。

security:
   keyFile: <path-to-keyfile>

更新された構成ファイルで一度に 1mongod つずつ、 を再起動します。

セカンダリノードから始めて、一度に 1 つのノードずつレプリカセットを再起動します。

1. セカンダリノードを一度に 1 つずつ再起動するには、

   1. mongodに接続し、 adminデータベースに対してdb.shutdownServer()メソッドを使用して、 mongodを安全にシャットダウンします。

      db.getSiblingDB("admin").shutdownServer()

   2. 更新された構成ファイルでmongodを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongod-secure.confの場合:

      mongod --config <path>/mongod-secure.conf

      ここで、 <path>は更新された構成ファイルを含むフォルダーへのシステム パスを表します。

   このメンバーが起動したら、次のセカンダリメンバーに対して を繰り返します。

2. すべてのセカンダリ メンバーが再起動して起動したら、プライマリを再起動します。

   1. mongodに接続します。

   2. プライマリ を解任し、選挙を するには、rs.stepDown() メソッドを使用します。trigger

      rs.stepDown()

      rs.status()メソッドを使用して、レプリカセットで新しいプライマリが選択されたことを確認できます。

   3. プライマリを解任し、新しいプライマリが選出されたら、 adminデータベースに対してdb.shutdownServer()メソッドを使用して古いプライマリをシャットダウンします。

      db.getSiblingDB("admin").shutdownServer()

   4. 更新された構成ファイルでmongodを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongod-secure.confの場合:

      mongod --config <path>/mongod-secure.conf

      ここで、 <path>は更新された構成ファイルを含むフォルダーへのシステム パスを表します。

transitionToAuthmongod構成ファイルから を削除します。

このチュートリアル中に作成されたコンフィギュレーションサーバーの構成ファイルからsecurity.transitionToAuthキーとその値を削除します。 チュートリアルに追加されたsecurity.keyFile設定はそのままにします。

security:
   keyFile: <path-to-keyfile>

更新された構成ファイルで一度に 1mongod つずつ、 を再起動します。

セカンダリノードから始めて、一度に 1 つのノードずつレプリカセットを再起動します。

1. セカンダリノードを一度に 1 つずつ再起動するには、

   1. mongodに接続し、 adminデータベースに対してdb.shutdownServer()メソッドを使用して、 mongodを安全にシャットダウンします。

      db.getSiblingDB("admin").shutdownServer()

   2. 更新された構成ファイルでmongodを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongod-secure.confの場合:

      mongod --config <path>/mongod-secure.conf

      ここで、 <path>は更新された構成ファイルを含むフォルダーへのシステム パスを表します。

   このメンバーが起動したら、次のセカンダリメンバーに対して を繰り返します。

2. すべてのセカンダリ メンバーが再起動して起動したら、プライマリを再起動します。

   1. mongodに接続します。

   2. プライマリ を解任し、選挙を するには、rs.stepDown() メソッドを使用します。trigger

      rs.stepDown()

      rs.status()メソッドを使用して、レプリカセットで新しいプライマリが選択されたことを確認できます。

   3. プライマリを解任し、新しいプライマリが選出されたら、 adminデータベースに対してdb.shutdownServer()メソッドを使用して古いプライマリをシャットダウンします。

      db.getSiblingDB("admin").shutdownServer()

   4. 更新された構成ファイルでmongodを再起動し、 --configを使用して構成ファイルへのパスを指定します。 たとえば、新しい構成ファイルの名前がmongod-secure.confの場合:

      mongod --config <path>/mongod-secure.conf

      ここで、 <path>は更新された構成ファイルを含むフォルダーへのシステム パスを表します。