Atualizar conjunto de réplicas autogerenciado para autenticação de arquivo-chave

Crie um arquivo-chave.

Com a autenticação do arquivo-chave, cada instância do mongod no conjunto de réplicas utiliza o conteúdo do arquivo-chave como a senha compartilhada para autenticar outros membros no sistema. Somente instâncias mongod com o arquivo-chave correto podem entrar no conjunto de réplicas.

O comprimento de uma chave deve ter entre 6 e 1024 caracteres e só pode conter caracteres no conjunto base64. Todos os membros do conjunto de réplicas devem compartilhar pelo menos uma chave comum.

Você pode gerar um arquivo-chave usando qualquer método de sua escolha. Por exemplo, a operação a seguir usa openssl para gerar uma cadeia complexa pseudo-aleatória de 1024 caracteres para ser usada como senha compartilhada. Em seguida, ele usa chmod para alterar as permissões do arquivo e fornecer permissões de leitura somente para o proprietário do arquivo:

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

Consulte Keyfiles para obter detalhes adicionais e requisitos para usar keyfiles.

Copie o arquivo-chave para cada membro do conjunto de réplicas.

Copie o arquivo-chave para cada servidor que hospeda os membros do conjunto de réplicas. Certifique-se de que o usuário que executa as instâncias mongod seja o proprietário do arquivo e possa acessar o arquivo-chave.

Evite armazenar o arquivo-chave em meios de armazenamento que podem ser facilmente desconectados do hardware hospedando as instâncias do , como uma unidade USB ou um dispositivo de armazenamento conectado à mongod rede.

Desligue todos os membros do conjunto de réplicas.

Desligue cada mongod no conjunto de réplica, começando com os segundos. Continue até que todos os membros do conjunto de réplicas estejam off-line, inclusive arbiters. O principal deve ser o último membro desligado para evitar possíveis reversões.

Para encerrar um mongod, conecte cada mongod usando mongosh e emita o db.shutdownServer() no banco de dados admin:

use admin
db.shutdownServer()

Ao final dessa etapa, todos os membros do conjunto de réplicas devem estar offline.

Reinicie cada membro do conjunto de réplicas com controle de acesso imposto.

Reinicie cada mongod no conjunto de réplicas com o arquivo de configuração security.keyFile ou com a opção de linha de comando --keyFile . A execução do mongod com a opção de linha de comando --keyFile ou a configuração do arquivo de configuração security.keyFile força a autenticação interna/de associação autogerenciada e o controle de acesso baseado em roles em sistemas autogerenciados.

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
net:
   bindIp: localhost,<hostname(s)|ip address(es)>

Inicie o mongod utilizando o arquivo de configuração:

mongod --config <path-to-config-file>

Para obter mais informações sobre o arquivo de configuração, consulte opções de configuração.

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

Conecte-se ao primário usando a interface do localhost.

Conecte mongosh a uma das instâncias mongod pela interface localhost. Você deve executar mongosh na mesma máquina física que a instância mongod.

Use rs.status() para identificar o membro primário do conjunto de réplicas. Se você estiver conectado ao primário, continue na próxima etapa. Caso contrário, conecte mongosh ao primário pela interface localhost.

Crie o administrador do usuário.

Adicione um usuário utilizando o método db.createUser(). O usuário deve ter pelo menos o role userAdminAnyDatabase no banco de dados do admin.

Você deve estar conectado ao primary para criar usuários.

O exemplo a seguir cria o usuário fred com o role userAdminAnyDatabase no banco de dados do admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Digite a senha quando solicitado. Consulte Funções do usuário de banco de dados para obter uma lista completa das funções integradas relacionadas às operações de administração do banco de dados.

Autenticar-se como administrador do usuário.

Autenticar no banco de dados do admin.

No mongosh, use db.auth() para se autenticar. Por exemplo, abaixo há uma autenticação como administrador do usuário fred:

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

Como alternativa, conecte uma nova instância do mongosh ao membro do conjunto de réplicas do primário utilizando os parâmetros -u <username>, -p <password> e --authenticationDatabase.

mongosh -u "fred" -p  --authenticationDatabase "admin"

Se você não especificar a senha para a opção de linha de comando -p, o mongosh solicitará a senha.

Crie o administrador do cluster (Opcional).

O usuário administrador de cluster tem a funçãoclusterAdmin, que concede acesso às operações de replicação.

Crie um usuário de administrador do cluster e atribua o role do clusterAdmin no banco de dados do admin :

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

Digite a senha quando solicitado.

Consulte Cluster Administration Roles para obter uma lista completa de funções internas relacionadas a operações de conjunto de réplicas.

Criar usuários adicionais (opcional).

Crie usuários para permitir que os clientes se conectem e interajam com o conjunto de réplicas. Consulte Funções de utilizador de banco de dados para obter informações sobre as funções internas básicas a serem usadas na criação de usuários somente leitura e de leitura e gravação.

Você também pode querer usuários administrativos adicionais. Para obter mais informações sobre usuários, consulte Usuários em implantações autogerenciadas.