Atualizar conjunto de réplicas autogerenciadas para autenticação de arquivo chave (sem tempo de inatividade)

Crie o administrador do usuário.

Conecte-se ao primary para criar um usuário com a role userAdminAnyDatabase . O role userAdminAnyDatabase concede acesso à criação de usuários em qualquer reconhecimento de data center no sistema.

O exemplo a seguir cria o usuário fred com o role userAdminAnyDatabase no banco de dados do admin.

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: " passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

Na conclusão deste procedimento, qualquer cliente que administre usuários no conjunto de réplicas deve autenticar como este usuário ou um usuário com permissões semelhantes.

Consulte Roles do utilizador de banco de dados para obter uma lista completa das roles integradas e relacionadas às operações de administração do banco de dados.

Crie o administrador do cluster.

Conecte-se ao primary para criar um usuário com a role clusterAdmin . O role clusterAdmin concede acesso às operações de replicação, como configurar o conjunto de réplicas.

O exemplo a seguir cria o usuário ravi com o role clusterAdmin no banco de dados do admin.

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ] 
  }
)

Na conclusão deste procedimento, qualquer cliente que administre ou mantenha o conjunto de réplicas deve autenticar como este usuário ou um usuário com permissões semelhantes.

Consulte Cluster Administration Roles para obter uma lista completa de funções internas relacionadas a operações de conjunto de réplicas.

Criar usuários para aplicativos do cliente.

Crie usuários para permitir que o aplicativo do cliente se conecte e interaja com o conjunto de réplicas. Na conclusão deste tutorial, os clientes devem autenticar como um usuário configurado para se conectar ao conjunto de réplica.

Consulte Roles de utilizador de banco de dados para roles internas básicas a serem usadas na criação de usuários somente leitura e de leitura e gravação.

O seguinte cria um usuário com permissões de leitura e gravação no reconhecimento de data center do foo .

Crie um usuário com o role readWrite no reconhecimento de data center do foo .

db.getSiblingDB("foo").createUser(
  {
    "user" : "joe",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "readWrite", "db" : "foo" } ] 
  }
)

Os clientes que se autenticam como este usuário podem executar operações de leitura e gravação no banco de dados foo . Consulte Autenticar um usuário com sistemas autogerenciados para saber mais sobre como criar uma conexão autenticada com o conjunto de réplicas.

Consulte o tutorial Adicionar usuários para obter mais informações sobre como adicionar usuários. Considere as melhores práticas de segurança ao adicionar novos usuários.

Atualizar aplicativos do cliente

Neste ponto do procedimento, o conjunto de réplicas não impõe autenticação. No entanto, os aplicativos do cliente ainda podem especificar credenciais de autenticação e se conectar ao conjunto de réplicas.

Atualize os aplicativos do cliente para autenticar no conjunto de réplicas usando um usuário configurado. As conexões autenticadas exigem um nome de usuário, senha e o banco de dados de autenticação. Consulte Autenticar um usuário com sistemas autogerenciados.

Por exemplo, o seguinte conecta a um nome do conjunto mongoRepl e autentica como o usuário joe.

mongosh  -u joe -password  -authenticationDatabase foo --host mongoRepl/mongo1.example.net:27017, mongo2.example.net:27017, mongo3.example.net:27017

Se você não especificar a senha para a opção de linha de comando -p, o mongosh solicitará a senha.

Se o seu aplicativo usa um driver do MongoDB, consulte a documentação do driver associado para obter instruções sobre como criar uma conexão autenticada.

Na conclusão deste tutorial, o conjunto de réplicas rejeita conexões de clientes não autenticados. Executar esta etapa agora garante que os clientes possam se conectar ao conjunto de réplicas antes e depois da transição.

Crie um arquivo-chave.

Com a autenticação do arquivo-chave, cada instância do mongod no conjunto de réplicas utiliza o conteúdo do arquivo-chave como a senha compartilhada para autenticar outros membros no sistema. Somente instâncias mongod com o arquivo-chave correto podem entrar no conjunto de réplicas.

O comprimento de uma chave deve ter entre 6 e 1024 caracteres e só pode conter caracteres no conjunto base64. Todos os membros do conjunto de réplicas devem compartilhar pelo menos uma chave comum.

Você pode gerar um arquivo-chave usando qualquer método de sua escolha. Por exemplo, a operação a seguir usa openssl para gerar uma cadeia complexa pseudo-aleatória de 1024 caracteres para ser usada como senha compartilhada. Em seguida, ele usa chmod para alterar as permissões do arquivo e fornecer permissões de leitura somente para o proprietário do arquivo:

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

Consulte Keyfiles para obter detalhes adicionais e requisitos para usar keyfiles.

Copie o arquivo-chave para cada membro do conjunto de réplicas.

Copie o arquivo-chave para cada servidor que hospeda os membros do conjunto de réplicas. Certifique-se de que o usuário que executa as instâncias mongod seja o proprietário do arquivo e possa acessar o arquivo-chave.

Evite armazenar o arquivo-chave em meios de armazenamento que podem ser facilmente desconectados do hardware hospedando as instâncias do , como uma unidade USB ou um dispositivo de armazenamento conectado à mongod rede.

Reinicie cada nó secundário ou árbitro do conjunto de réplicas com transitionToAuth.

Reinicie cada membro secundário ou árbitro no conjunto de réplicas, incluindo na configuração:

• A configuração security.transitionToAuth . Iniciar mongod com security.transitionToAuth definido como true coloca a instância em um estado de transição no qual ela pode aceitar e criar conexões autenticadas e não autenticadas.

• Um mecanismo de autenticação interno, como security.keyFile.

Você deve reiniciar cada membro um de cada vez para garantir que a maioria dos membros no conjunto de réplicas permaneça online.

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>

Especifique a opção --config com o caminho para o arquivo de configuração ao iniciar o mongod .

mongod --config <path-to-config-file>

Para obter mais informações sobre o arquivo de configuração, consulte opções de configuração.

Como alternativa, você pode usar as opções equivalentes de linha de comando mongod (por exemplo, --transitionToAuth e --keyFile) ao iniciar seu mongod. Consulte a página de referência do mongod para uma lista completa de opções.

Inclua configurações adicionais conforme apropriado para seu sistema.

No final desta etapa, todos os secundários e árbitros devem estar instalados e funcionando com security.transitionToAuth definido como true.

Reduza o membro principal do conjunto de réplicas e reinicie-o com --transitionToAuth.

Reduza o membro primário no conjunto de réplicas e reinicie o membro, inclusive em sua configuração:

• A configuração security.transitionToAuth . Iniciar mongod com security.transitionToAuth definido como true coloca a instância em um estado de transição no qual ela pode aceitar e criar conexões autenticadas e não autenticadas.

• Um mecanismo de autenticação interno, como security.keyFile.

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>
  

Inicie o mongod utilizando o arquivo de configuração.

mongod --config <path-to-config-file>

Para obter mais informações sobre o arquivo de configuração, consulte opções de configuração.

Como alternativa, você pode usar as opções equivalentes de linha de comando mongod (por exemplo, --transitionToAuth e --keyFile) ao iniciar seu mongod. Consulte a página de referência do mongod para uma lista completa de opções.

Inclua configurações adicionais conforme apropriado para seu sistema.

No final desta etapa, todos os membros do conjunto de réplicas devem estar em funcionamento com security.transitionToAuth definido como true e security.keyFile definido como o caminho do arquivo-chave.

Reinicie secundários e árbitros sem --transitionToAuth

Reinicie cada membro secundário ou árbitro no conjunto de réplicas, removendo a opção security.transitionToAuth na reinicialização. Você deve fazer isso um de cada vez para garantir que a maioria dos membros no conjunto de réplicas permaneça online.

Se a maioria dos membros do conjunto de réplicas estiver offline ao mesmo tempo, o conjunto de réplicas poderá Go no modo somente leitura.

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>

Inicie o mongod utilizando o arquivo de configuração:

mongod --config <path-to-config-file>

Para obter mais informações sobre o arquivo de configuração, consulte opções de configuração.

Você também pode usar as opções mongod equivalentes ao iniciar seu mongod. Consulte a página de referência do mongod para uma lista completa de opções.

Inclua configurações adicionais conforme apropriado para seu sistema.

No final desta etapa, todos os secundários e árbitros devem estar em funcionamento com a autenticação interna configurada, mas sem security.transitionToAuth. Os clientes só podem se conectar a essas instâncias mongod usando o mecanismo de autenticação do cliente configurado.

Reduza e reinicie o membro do conjunto de réplicas primário sem --transitionToAuth.

Reduza o membro principal no conjunto de réplicas e reinicie-o sem a opção security.transitionToAuth .

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
  

Inicie o mongod utilizando o arquivo de configuração:

mongod --config <path-to-config-file>

Para obter mais informações sobre o arquivo de configuração, consulte opções de configuração.

Você também pode usar as opções mongod equivalentes ao iniciar seu mongod. Consulte a página de referência do mongod para uma lista completa de opções.

Inclua configurações adicionais conforme apropriado para seu sistema.

No final desta etapa, todos os membros do conjunto de réplicas devem estar em funcionamento com a autenticação imposta. Os clientes só podem se conectar a essas instâncias mongod usando o mecanismo de autenticação do cliente configurado.