Docs Menu
Docs Home
/
MongoDBマニュアル
/ / / /

自己管理型シャーディングされたクラスターをキーファイル認証に更新

項目一覧

  • Overview
  • Considerations
  • 手順
  • x.509 内部認証

シャーディングされたクラスターにアクセス制御を強制するには、以下を構成する必要があります。

このチュートリアルでは、シャーディングされたクラスターの各ノードが同じ内部認証メカニズムと設定を使用する必要があります。 これは、クラスター内のそれぞれの mongosmongodに内部認証を強制することを意味します。

次のチュートリアルでは、キーファイルを使用して内部認証を有効にします。

内部認証を強制すると、ユーザーのアクセス制御も強制されます。 レプリカ セットに接続するには、 mongoshなどのクライアントはユーザー アカウントを使用する必要があります。 詳しくは、 アクセス制御 を参照してください。

Cloud ManagerまたはMongoDB Ops Managerが配置を管理している場合、内部認証が自動的に強制されます。

管理対象の配置でアクセス制御を構成するには、 Cloud ManagerマニュアルまたはMongoDB Ops Managerマニュアルの Configure Access Control for MongoDB Deployments を参照してください。

重要

IP アドレスの変更による構成の更新を防ぐには、IP アドレスの代わりに DNS ホスト名を使用します。レプリカセット ノードまたはシャーディングされたクラスター ノードを設定するときは、IP アドレスではなく DNS ホスト名を使用することが特に重要です。

分裂されたネットワーク ホライズン全体でクラスターを構成するには、IP アドレスの代わりにホスト名を使用します。 MongoDB 5.0以降、IP アドレスのみが設定されているノードは起動時の検証に失敗し、起動しません。

MongoDB バイナリ(mongodmongos)は、デフォルトで localhost にバインドされます。

このチュートリアルでは、主に mongod プロセスについて説明します。Windows ユーザーは代わりに mongod.exe プログラムを使用する必要があります。

キーファイルは最低限のセキュリティであり、テストや開発環境に最適です。本番環境では、x.509 証明書を使用することをお勧めします。

このチュートリアルでは、 adminデータベース上のみでの最小限数の管理ユーザーの作成について説明します。 ユーザー認証には、このチュートリアルではデフォルトのSCRAM認証メカニズムを使用します。 チャレンジレスポンスのセキュリティ方式は、テスト環境または開発環境に最適です。 本番環境では、 x を使用することをお勧めします。 509証明書または自己管理型 LDAP プロキシ認証(MongoDB Enterprise でのみ使用可能)、または自己管理型配置での Kerberos 認証(MongoDB Enterprise でのみ使用可能)。

特定の認証メカニズムのユーザーを作成する方法の詳細については、特定の認証メカニズムのページを参照してください。

ユーザーの作成とマネジメントのベストプラクティスについては、➤ ロールベースのアクセス制御の構成を参照してください。

一般に、シャーディングされたクラスターのユーザーを作成するには、 mongosに接続してシャーディングされたクラスター ユーザーを追加します。

ただし、一部のメンテナンス操作では、シャーディングされたクラスター内の特定のシャードへの直接接続が必要です。 これらの操作を実行するには、シャードに直接接続し、 シャード ローカル 管理ユーザーとして認証する必要があります。

シャード ローカル ユーザーは特定のシャードにのみ存在するため、シャード固有のメンテナンスと構成にのみ使用する必要があります。 シャード ローカル ユーザーはmongosに接続できません。

詳細については、「自己管理型配置のユーザー」セキュリティ ドキュメントを参照してください。

シャーディングされたクラスター をアップグレードしてアクセス制御を適用するには、ダウンタイムが必要です。

1

キーファイル 認証では、シャーディングされたクラスター内の各mongodまたはmongosインスタンスは、配置内の他のノードを認証するための共有パスワードとしてキーファイルの内容を使用します。 正しいキーファイルを持つmongodまたはmongosインスタンスのみがシャーディングされたクラスターに参加できます。

注意

内部メンバーシップ認証用のキーファイルでは、キーファイル内に複数のキーを含めるために YAML 形式が使用されます。YAML 形式は次のいずれかを受け入れます。

  • 1 つのキー文字列(以前のバージョンと同じ)

  • キー文字列のシーケンス

YAML 形式は、テキストファイル形式を使用する既存の単一のキー キーファイルと互換性があります。

キーの長さは 6 文字から 1024 文字の間で、base64 セット内の文字のみを含めることができます。 シャーディングされたクラスターのすべてのノードは、少なくとも 1 つの共通キーを共有する必要があります。

注意

UNIX システムでは、キーファイルにグループ権限またはワールド権限があってはなりません。Windows システムでは、キーファイルの権限はチェックされません。

キーファイルは、選択した任意の方法で生成できます。たとえば、次の操作では、openssl を使用して、共有パスワードとして使用する疑似ランダムの複雑な 1024 文字の文字列を生成します。次に、chmod を使用してファイル権限を変更し、ファイル所有者のみに読み取り権限を付与します。

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

キーファイルの使用に関する詳細と要件については、「キーファイル」を参照してください。

2

シャーディングされたクラスターのmongodまたはmongosコンポーネントをホストしているすべてのサーバーには、キーファイルのコピーが含まれている必要があります。

シャーディングされたクラスターをホストしている各サーバーにキー ファイルをコピーします。 mongodまたはmongosインスタンスを実行中のユーザーがファイルの所有者であり、キーファイルにアクセスできるようにしてください。

キーファイルを、 mongodまたはmongosインスタンスをホストしているハードウェアから簡単に切断できるストレージメディア(Windows ドライブやネットワーク接続ストレージデバイスなど)にキーファイルを保存しないでください。

3

mongoshmongosに接続します。

sh.stopBalancer()

移行が進行中の場合、バランサーがすぐに停止しないことがあります。 sh.stopBalancer()メソッドは、バランサーが停止するまで shell をブロックします。

MongoDB 6.0.3以降、 自動チャンク分割は実行されません。 これはバランシング ポリシーの改善によるものです。 自動分割コマンドは引き続き存在しますが、操作は実行されません。

MongoDB バージョン 6.0.3 より前では、sh.stopBalancer() によってシャーディングされたクラスターの自動分割も無効になります。

sh.getBalancerState()を使用して、バランサーが停止していることを確認します。

sh.getBalancerState()

重要

バランサーが動作を停止するまで続行しないでください。

シャーディングされたクラスター バランサーの動作を構成するチュートリアルについては、「 シャーディングされたクラスター バランサーの管理」を参照してください。

4

mongoshを各mongosに接続し、シャットダウンします。

adminデータベースでdb.shutdownServer()メソッドを使用して、 mongosを安全にシャットダウンします。

db.getSiblingDB("admin").shutdownServer()

クラスター内のすべてのmongosインスタンスがオフラインになるまで繰り返します。

この手順が完了すると、クラスター内のすべてのmongosインスタンスがオフラインになります。

5

mongoshコンフィギュレーションサーバー配置内の各 にmongod を接続し、シャットダウンします。

レプリカセット コンフィギュレーションサーバー配置の場合は、最後にプライマリノードをシャットダウンします。

adminデータベースでdb.shutdownServer()メソッドを使用して、 mongodを安全にシャットダウンします。

db.getSiblingDB("admin").shutdownServer()

すべてのコンフィギュレーションサーバーがオフラインになるまで繰り返します。

6

シャード レプリカセットごとに、 mongoshをレプリカセット内の各mongodメンバーに接続し、シャットダウンします。 最後にプライマリノードをシャットダウンします。

adminデータベースでdb.shutdownServer()メソッドを使用して、 mongodを安全にシャットダウンします。

db.getSiblingDB("admin").shutdownServer()

すべてのシャード レプリカセット内のすべてのmongodインスタンスがオフラインになるまで、各シャード レプリカセットに対してこの手順を繰り返します。

この手順が完了すると、シャーディングされたクラスター全体がオフラインになります。

7

コンフィギュレーションサーバーのレプリカセットでmongodを起動します。 keyFile設定を含めます。 keyFile設定では、自己管理型内部認証とメンバーシップ認証自己管理型配置におけるロールベースのアクセス制御 の両方が強制されます。

mongod設定は、構成ファイルまたはコマンドラインで指定できます。

構成ファイル

構成ファイルを使用する場合、コンフィギュレーションサーバーのレプリカセットには、キーファイルのパスにsecurity.keyFileを設定し、 sharding.clusterRoleconfigsvrに設定し、 replication.replSetNameにコンフィギュレーションサーバーのレプリカセットの名前を設定します。

security:
keyFile: <path-to-keyfile>
sharding:
clusterRole: configsvr
replication:
replSetName: <setname>
storage:
dbpath: <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

--configオプションと構成ファイルへのパスを指定して、mongod を起動します。

mongod --config <path-to-config>

コマンドライン

コマンドライン パラメータを使用する場合は、コンフィギュレーションサーバーのレプリカセットの場合、 -keyFile--configsvr--replSetパラメータを使用してmongodを起動します。

mongod --keyFile <path-to-keyfile> --configsvr --replSet <setname> --dbpath <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

コマンドライン オプションの詳細については、 mongodリファレンス ページを参照してください。

各ノードを再起動するときは、必ず元のレプリカセット名を使用してください。 レプリカセットの名前は変更できません。

8

keyFileパラメータを使用してmongodを実行すると、自己管理型配置で 自己管理型内部認証とメンバーシップ認証ロールベースのアクセス制御 の両方が強制されます。

構成ファイルまたはコマンドラインのいずれかを使用して、レプリカセット内のmongodを起動します。

構成ファイル

構成ファイルを使用する場合は、 security.keyFileオプションをキーファイルのパスに設定し、 replication.replSetNameオプションをレプリカセットの元の名前に設定します。

security:
keyFile: <path-to-keyfile>
replication:
replSetName: <setname>
storage:
dbPath: <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

--configオプションと構成ファイルへのパスを指定して、mongod を起動します。

mongod --config <path-to-config-file>

コマンドライン

コマンドラインmongod --keyFileパラメータを使用する場合は、 を起動し、 パラメータと--replSet パラメータを指定します。

mongod --keyfile <path-to-keyfile> --replSet <setname> --dbpath <path>

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

起動パラメータの詳細については、 mongodリファレンス ページを参照してください。

各ノードを再起動するときは、必ず元のレプリカセット名を使用してください。 レプリカセットの名前は変更できません。

クラスター内のすべてのシャードがオンラインになるまで、この手順を繰り返します。

9

重要

自己管理型配置における Localhost 例外 を使用すると、ローカルホスト インターフェース経由で接続されているクライアントは、アクセス制御を強制するmongodにユーザーを作成できます。 最初のユーザーを作成すると、自己管理型配置の Localhost 例外が閉じます。

最初のユーザーには、 userAdminAnyDatabaseを持つユーザーなど、他のユーザーを作成する特権を付与する必要があります。 これにより、自己管理型配置の Localhost 例外 が終了した後に追加のユーザーを作成できるようになります。

少なくとも 1 人ユーザーを作成できる権限を持つユーザーが いない場合、localhost 例外が終了すると、権限を持ったユーザーを新規作成、または既存ユーザーの権限を編集できなくなり、特定の関数や操作にアクセスできなくなる可能性があります。

クラスター内の各シャード レプリカセットについて、 ローカルホスト インターフェースmongosh 経由で を プライマリ ノードに接続します。ローカルホスト mongoshmongodインターフェースを使用するには、ターゲット と同じマシンで を実行する必要があります。

adminデータベースでuserAdminAnyDatabaseロールを持つユーザーを作成します。 このユーザーは、必要に応じてシャード レプリカセットに追加のユーザーを作成できます。 このユーザーを作成すると、自己管理型配置の Localhost 例外も閉じられます。

次の例では、 adminデータベースにシャードローカル ユーザーfredを作成しています。

重要

パスワードは、システムのセキュリティを確保し、悪意のあるアクセスを防止または遅延させるために、ランダムで長く、複雑なものにする必要があります。

Tip

passwordPrompt() メソッドを様々なユーザー認証管理メソッドやコマンドと組み合わせて使用すると、メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、パスワードの入力を求めるプロンプトが表示されます。ただし、以前のバージョンの mongo シェルと同様に、パスワードを直接指定することもできます。

admin = db.getSiblingDB("admin")
admin.createUser(
{
user: "fred",
pwd: passwordPrompt(), // or cleartext password
roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
}
)
10

keyFileパラメータを使用してmongodを実行すると、自己管理型配置で 自己管理型内部認証とメンバーシップ認証ロールベースのアクセス制御 の両方が強制されます。

構成ファイルまたはコマンドラインのいずれかを使用して、レプリカセット内のmongosを起動します。

構成ファイル

構成ファイルを使用する場合は、 security.keyFileをキーファイルのパスに設定し、 sharding.configDBをレプリカセット名に設定し、レプリカセットの少なくとも 1 つのノードを<replSetName>/<host:port>形式で設定します。

security:
keyFile: <path-to-keyfile>
sharding:
configDB: <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを使用して配置に接続する場合や、配置ノードを異なるホスト上で実行する場合は、 net.bindIp設定を指定します。

--configオプションと構成ファイルへのパスを指定して、mongos を起動します。

mongos --config <path-to-config-file>

コマンドライン

コマンドラインmongos --keyFile--configdbパラメータを使用する場合は、 を起動し、 パラメータと パラメータを指定します。

mongos --keyFile <path-to-keyfile> --configdb <configReplSetName>/cfg1.example.net:27019,cfg2.example.net:27019,...

構成に必要な追加オプションを含めます。 たとえば、リモート クライアントを配置に接続する場合、または配置ノードを異なるホスト上で実行する場合は、 --bind_ipを指定します。

この時点で、シャーディングされたクラスター全体はオンラインに戻り、指定されたキーファイルを使用して内部通信できるようになります。 ただし、 mongoshのような外部プログラムでは、クラスターへの読み取りまたは書き込みを行うために、正しくプロビジョニングされたユーザーを使用する必要があります。

11

mongoshローカルホスト インターフェース経由で mongos インスタンスの 1 つに接続します。mongoshmongos インスタンスと同じ物理マシン上で実行する必要があります。

配置用のユーザーが作成されていないため、ローカルホスト インターフェースのみ使用できます。最初のユーザーが作成された後に、 ローカルホスト インターフェースは閉じます。

12

重要

最初のユーザーを作成すると、localhost 例外は利用できなくなります。

最初のユーザーには、 userAdminAnyDatabaseを持つユーザーなど、他のユーザーを作成する特権を付与する必要があります。 これにより、自己管理型配置の Localhost 例外 が終了した後に追加のユーザーを作成できるようになります。

少なくとも 1 人ユーザーを作成できる権限を持つユーザーが いない場合、localhost 例外が終了するとユーザーの作成や変更ができなくなり、必要な操作が実行できなくなる可能性があります。

db.createUser() メソッドを使用してユーザーを追加します。このユーザーには、admin データベース上で userAdminAnyDatabase 以上のロールを付与する必要があります。

重要

パスワードは、システムのセキュリティを確保し、悪意のあるアクセスを防止または遅延させるために、ランダムで長く、複雑なものにする必要があります。

次の例では、 adminデータベースにユーザーfredを作成しています。

Tip

passwordPrompt() メソッドを様々なユーザー認証管理メソッドやコマンドと組み合わせて使用すると、メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、パスワードの入力を求めるプロンプトが表示されます。ただし、以前のバージョンの mongo シェルと同様に、パスワードを直接指定することもできます。

admin = db.getSiblingDB("admin")
admin.createUser(
{
user: "fred",
pwd: passwordPrompt(), // or cleartext password
roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
}
)

データベース管理操作に関連する組み込みロールの全リストは、「データベースユーザー ロール」を参照してください。

13

ユーザー管理者として認証し、追加のユーザーを作成するには、次のようにしdb.auth()

Tip

passwordPrompt() メソッドを様々なユーザー認証管理メソッドやコマンドと組み合わせて使用すると、メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、パスワードの入力を求めるプロンプトが表示されます。ただし、以前のバージョンの mongo シェルと同様に、パスワードを直接指定することもできます。

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

パスワードの入力を求められたら、入力します。

または、 -u <username>-p <password>--authenticationDatabase "admin"パラメータを使用して、新しいmongoshセッションを対象レプリカセット ノードに接続します。 に接続するには 、 自己管理型配置で Localhost 例外 をmongos 使用する必要があります。

mongosh -u "fred" -p --authenticationDatabase "admin"

-pコマンドライン オプションにパスワードを指定しない場合、 mongoshはパスワードの入力を要求します。

14

クラスター管理者ユーザーには、シャード ローカル クラスター管理者でclusterAdmin はなく 、シャーディングされたクラスターの ロールが付与されています。

次の例では、 adminデータベースにユーザーraviを作成しています。

重要

パスワードは、システムのセキュリティを確保し、悪意のあるアクセスを防止または遅延させるために、ランダムで長く、複雑なものにする必要があります。

Tip

passwordPrompt() メソッドを様々なユーザー認証管理メソッドやコマンドと組み合わせて使用すると、メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、パスワードの入力を求めるプロンプトが表示されます。ただし、以前のバージョンの mongo シェルと同様に、パスワードを直接指定することもできます。

db.getSiblingDB("admin").createUser(
{
"user" : "ravi",
"pwd" : passwordPrompt(), // or cleartext password
roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
}
)

レプリカセットとシャーディングされたクラスターの操作に関連する組み込みロールの完全なリストについては、「クラスター管理ロール」を参照してください。

15

clusterAdmindb.auth()mongoshシャーディング操作を実行するには、username メソッドを使用してpassword ユーザーとして認証するか、 、 、 パラメーターを使用して新しい セッションを実行してauthenticationDatabase ユーザーとして認証します。

注意

これは、シャード クラスターのクラスター管理者であり、シャード ローカル クラスター管理者ではありません

16

バランサーを起動します。

sh.startBalancer()

MongoDB 6.0.3以降、 自動チャンク分割は実行されません。 これはバランシング ポリシーの改善によるものです。 自動分割コマンドは引き続き存在しますが、操作は実行されません。

MongoDB バージョン 6.0.3 より前では、sh.startBalancer() によってシャーディングされたクラスターの自動分割も有効になります。

sh.getBalancerState()を使用して、バランサーが起動したことを確認します。

シャーディングされたクラスター バランサーに関するチュートリアルについては、「 シャーディングされたクラスター バランサーの管理」を参照してください。

17

ユーザーを作成して、クライアントがシャーディングされたクラスターに接続してアクセスできるようにします。 使用可能な組み込みロールについては、「 データベースユーザーのロール 」を参照してください。たとえば、 readreadWriteなどです。 また、管理ユーザーを追加することもできます。 ユーザーの詳細については、「自己管理型配置のユーザー 」を参照してください。

追加のユーザーを作成するには、 userAdminAnyDatabaseまたはuserAdminロールを持つユーザーとして認証する必要があります。

x の使用の詳細については、 を参照してください。内部認証用の509はx を使用する を参照してください。自己管理型 MongoDB によるメンバーシップ認証の509証明書。

キーファイルによる内部認証から x にアップグレードします。 509内部認証については、「自己管理型 MongoDB をキーファイル認証から x にアップグレードする 」を参照してください。 509認証。

戻る

シャーディングされたクラスターの配置