キーファイル認証を使用した自己管理型シャーディングされたクラスターの配置

コンフィギュレーションサーバーのレプリカセットで各mongodを起動します。 keyFile設定を含めます。 keyFile設定では、自己管理型内部認証とメンバーシップ認証と自己管理型配置におけるロールベースのアクセス制御 の両方が強制されます。

mongod設定は、構成ファイルまたはコマンドラインで指定できます。

構成ファイル

構成ファイルを使用する場合は、キーファイルのパスにsecurity.keyFileを設定し、 sharding.clusterRoleをconfigsvrに、 replication.replSetNameにコンフィギュレーションサーバーのレプリカセットの希望する名前を設定します。

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: configsvr
replication:
  replSetName: <setname>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

--configオプションと構成ファイルへのパスを指定して、mongod を起動します。

mongod --config <path-to-config-file>

コマンドライン

コマンドライン パラメータを使用する場合は、 --keyFile 、 --configsvr 、 --replSetパラメータを使用してmongodを起動します。

mongod --keyFile <path-to-keyfile> --configsvr --replSet <setname> --dbpath <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

ローカルホスト インターフェースを介してレプリカセットのノードに接続します。

mongosh をローカルホスト インターフェース経由で mongod インスタンスの 1 つに接続します。mongosh は mongod インスタンスと同じ物理マシン上で実行する必要があります。

配置用のユーザーが作成されていないため、ローカルホスト インターフェースのみ使用できます。最初のユーザーが作成された後に、 ローカルホスト インターフェースは閉じます。

rs.initiate()メソッドはレプリカセットを開始し、オプションのレプリカセット構成ドキュメント を指定できます。 レプリカセット構成ドキュメントには、次を含めます。

• _id 。 _idは mongod に渡される--replSetパラメータと一致する必要があります

• membersフィールド。 membersフィールドは配列であり、レプリカセットの各ノードごとにドキュメントが必要です。

• configsvrフィールド。 コンフィギュレーションサーバーのレプリカセットのconfigsvrフィールドはtrueに設定する必要があります。

レプリカセットの構成ドキュメントについて詳しくは、「自己管理型レプリカセット構成」を参照してください。

rs.initiate()メソッドと構成ドキュメントを使用してレプリカセットを開始します。

rs.initiate(
  {
    _id: "myReplSet",
    configsvr: true,
    members: [
      { _id : 0, host : "cfg1.example.net:27019" },
      { _id : 1, host : "cfg2.example.net:27019" },
      { _id : 2, host : "cfg3.example.net:27019" }
    ]
  }
)

アクセス制御を有効にしてレプリカセットの各ノードを起動します。

keyFileパラメータを使用してmongodを実行すると、自己管理型配置で 自己管理型内部認証とメンバーシップ認証とロールベースのアクセス制御 の両方が強制されます。

構成ファイルまたはコマンドラインのいずれかを使用して、レプリカセット内の各mongodを起動します。

構成ファイル

構成ファイルを使用する場合は、 security.keyFileオプションをキーファイルのパスに設定し、 replication.replSetNameをレプリカセットの名前に設定し、 sharding.clusterRoleオプションをshardsvrに設定します。

security:
  keyFile: <path-to-keyfile>
sharding:
  clusterRole: shardsvr
replication:
  replSetName: <replSetName>
storage:
   dbPath: <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

--configオプションと構成ファイルへのパスを指定して、mongod を起動します。

mongod --config <path-to-config-file>

コマンドライン

コマンドライン オプションを使用する場合は、コンポーネントを起動するときに、次の例のように--keyFile 、 replSet 、 --shardsvrパラメーターを指定します。

mongod --keyFile <path-to-keyfile> --shardsvr --replSet <replSetName>  --dbpath <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

ローカルホスト インターフェースを介してレプリカセットのノードに接続します。

mongosh をローカルホスト インターフェース経由で mongod インスタンスの 1 つに接続します。mongosh は mongod インスタンスと同じ物理マシン上で実行する必要があります。

配置用のユーザーが作成されていないため、ローカルホスト インターフェースのみ使用できます。最初のユーザーが作成された後に、 ローカルホスト インターフェースは閉じます。

レプリカセットを開始します。

mongoshから、 rs.initiate()メソッドを実行します。

rs.initiate() は、オプションのレプリカセット構成ドキュメントを指定できます。レプリカセット構成ドキュメントには、次を含めます。

• _id は、replication.replSetName または --replSet オプションのいずれかで指定されたレプリカセット名に設定されます。

• レプリカセットの各ノードごとのドキュメントを含む members 配列

次の例では、3 つのノードがあるレプリカセットを初期化します。

rs.initiate(
  {
    _id : "myReplSet",
    members: [
      { _id : 0, host : "s1-mongo1.example.net:27018" },
      { _id : 1, host : "s1-mongo2.example.net:27018" },
      { _id : 2, host : "s1-mongo3.example.net:27018" }
    ]
  }
)

rs.initiate()は、選挙をトリガーし、ノードの 1 つをプライマリとして選出します。

続行する前にプライマリに接続します。プライマリ ノードを見つけるには、rs.status() を使用します。

シャード ローカル ユーザー管理者を作成します（任意）。

db.createUser() メソッドを使用してユーザーを追加します。このユーザーには、admin データベース上で userAdminAnyDatabase 以上のロールを付与する必要があります。

ユーザーを作成するには、プライマリに接続する必要があります。

次の例では、ユーザー fred を作成し、admin データベースに対して userAdminAnyDatabase ロールを付与しています。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

パスワードの入力を求められたら、入力します。 データベース管理操作に関連する組み込みロールの完全なリストについては、「データベースユーザー ロール」を参照してください。

シャード ローカル ユーザー管理者として認証します（任意）。

admin データベースで認証を行います。

mongoshでは、 db.auth()を使用して認証します。 たとえば、次の例では、ユーザー管理者fredとして認証します。

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

または、-u <username>、-p <password>、--authenticationDatabase パラメータを使用して、新しい mongosh インスタンスをプライマリ レプリカセット ノードに接続します。

mongosh -u "fred" -p  --authenticationDatabase "admin"

-pコマンドライン オプションにパスワードを指定しない場合、 mongoshはパスワードの入力を要求します。

シャード ローカル クラスター管理者を作成します（任意）。

シャード ローカル クラスターの管理者ユーザーには、レプリケーション操作へのアクセスを許可する特権を付与するclusterAdminロールがあります。

レプリカセットの操作に関連するロールの完全なリストについては、「クラスター管理ロール 」を参照してください。

クラスター管理者ユーザーを作成し、admin データベースでの clusterAdmin ロールを割り当てます。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

パスワードの入力を求められたら、入力します。

レプリカセットとシャーディングされたクラスターの操作に関連する組み込みロールの完全なリストについては、「クラスター管理ロール」を参照してください。

mongosをクラスターに接続する

構成ファイルまたはコマンドライン パラメータを使用してキーファイルを指定してmongosを起動します。

構成ファイル

構成ファイルを使用する場合は、 security.keyFileをキーファイルのパスに設定し、 sharding.configDBをレプリカセット名とレプリカセットの少なくとも 1 つのノードに<replSetName>/<host:port>形式で設定します。

security:
  keyFile: <path-to-keyfile>
sharding:
  configDB: <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

--configオプションと構成ファイルへのパスを指定して、mongos を起動します。

mongos --config <path-to-config>

コマンドライン

コマンドラインmongos --keyFile--configdbパラメータを使用する場合は、 を起動し、 パラメータと パラメータを指定します。

mongos --keyFile <path-to-keyfile> --configdb <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

mongosローカルホスト インターフェースを介して に接続します。

mongosh をローカルホスト インターフェース経由で mongos インスタンスの 1 つに接続します。mongosh は mongos インスタンスと同じ物理マシン上で実行する必要があります。

配置用のユーザーが作成されていないため、ローカルホスト インターフェースのみ使用できます。最初のユーザーが作成された後に、 ローカルホスト インターフェースは閉じます。

ユーザー管理者を作成します。

db.createUser() メソッドを使用してユーザーを追加します。このユーザーには、admin データベース上で userAdminAnyDatabase 以上のロールを付与する必要があります。

次の例では、 adminデータベースにユーザーfredを作成しています。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd:  passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

データベース管理操作に関連する組み込みロールの全リストは、「データベースユーザー ロール」を参照してください。

ユーザー管理者として認証します。

ユーザー管理者として認証し、追加のユーザーを作成するには、次のようにしdb.auth() 。

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

パスワードの入力を求められたら、入力します。

または、 -u <username> 、 -p <password> 、 --authenticationDatabase "admin"パラメータを使用して、新しいmongoshセッションを対象レプリカセット ノードに接続します。 に接続するには 、 自己管理型配置で Localhost 例外 をmongos 使用する必要があります。

mongosh -u "fred" -p  --authenticationDatabase "admin"

-pコマンドライン オプションにパスワードを指定しない場合、 mongoshはパスワードの入力を要求します。

クラスターマネジメントの管理ユーザーの作成

クラスター管理者ユーザーには、レプリケーションとシャーディング操作へのアクセスを許可するclusterAdminロールがあります。

adminデータベースにclusterAdminユーザーを作成します。

次の例では、 adminデータベースにユーザーraviを作成しています。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

レプリカセットとシャーディングされたクラスターの操作に関連する組み込みロールの完全なリストについては、「クラスター管理ロール」を参照してください。

追加のユーザーを作成します（任意）。

ユーザーを作成して、クライアントがシャーディングされたクラスターに接続してアクセスできるようにします。 使用可能な組み込みロールについては、「 データベースユーザーのロール 」を参照してください。たとえば、 readやreadWriteなどです。 また、管理ユーザーを追加することもできます。 ユーザーの詳細については、「自己管理型配置のユーザー 」を参照してください。

追加のユーザーを作成するには、 userAdminAnyDatabaseまたはuserAdminロールを持つユーザーとして認証する必要があります。