Atualizar cluster fragmentado autogerenciado para autenticação de arquivo chave (sem tempo de inatividade)

Crie o usuário administrador.

Utilize o método db.createUser() para criar um usuário administrador e atribuir a ele as seguintes roles:

• clusterAdmin no reconhecimento de data center admin

• userAdmin roles no reconhecimento de data center admin

Os clientes que executam operações de manutenção ou operações administrativas de usuários no cluster fragmentado devem se autenticar como esse usuário na conclusão deste tutorial. Crie esse usuário agora para garantir que você tenha acesso ao cluster após impor a autenticação.

admin = db.getSiblingDB("admin");
admin.createUser(
  {
    user: "admin",
    pwd: "<password>",
    roles: [
      { role: "clusterAdmin", db: "admin" },
      { role: "userAdmin", db: "admin" }
    ]
  }
);

Opcional: crie usuários adicionais para aplicativos clientes.

Além do usuário administrador, você pode criar usuários adicionais antes de impor a autenticação. Isso garante o acesso ao cluster fragmentado depois que você aplica totalmente a autenticação.

db.getSiblingDB("marketing").createUser(
  {
    "user": "joe",
    "pwd": "<password>",
    "roles": [ { "role" : "readWrite", "db" : "marketing" } ]
  }
)

Consulte trigger de banco de dados Roles para roles fornecidas pelo MongoDB.

Consulte o tutorial Adicionar usuários para obter mais informações sobre como adicionar usuários. Considere as melhores práticas de segurança ao adicionar novos usuários.

Opcional: atualize os aplicativos do cliente para especificar as credenciais de autenticação.

Embora o cluster fragmentado não imponha autenticação no momento, você ainda pode atualizar os aplicativos do cliente para especificar as credenciais de autenticação ao se conectar ao cluster fragmentado. Isso pode evitar a perda de conectividade na conclusão deste tutorial.

mongosh  --username "joe" --password "<password>" \
  --authenticationDatabase "marketing" --host mongos1.example.net:27017

Crie um novo mongos arquivo de configuração .

Para cada mongos:

1. Copie o arquivo de configuração mongos existente, atribuindo a ele um nome distinto, como <filename>-secure.conf (ou .cfg se estiver usando Windows). Você usará esse novo arquivo de configuração para fazer a transição de mongos para impor a autenticação no cluster fragmentado. Mantenha o arquivo de configuração original para fins de backup.

2. No novo arquivo de configuração, adicione as seguintes configurações:

   • security.transitionToAuth definido como true

   • security.keyFile definido como o caminho do arquivo-chave.

     Se estiver usando um mecanismo de autenticação interna diferente, especifique as configurações apropriadas para o mecanismo.

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

   O novo arquivo de configuração deve conter todas as definições de configuração usadas anteriormente pelo mongos , bem como as novas definições de segurança.

Um de cada vez, reinicie o mongos com o novo arquivo de configuração.

Siga o procedimento para reiniciar a instância mongos , um mongos de cada vez:

1. Conecte ao mongos para desligar.

2. Use o método db.shutdownServer() no reconhecimento de data center admin para desligar o mongos com segurança.

   db.getSiblingDB("admin").shutdownServer()

3. Reinicie o mongos com o novo arquivo de configuração, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongos-secure.conf:

   mongos --config <path>/mongos-secure.conf

   onde <path> representa o caminho do sistema para a pasta que contém o novo arquivo de configuração.

Repita o processo de reinicialização para a próxima instância mongos até que todas as instâncias mongos no cluster fragmentado tenham sido reiniciadas.

Crie um novo mongod arquivo de configuração .

Para cada mongod no conjunto de réplicas do servidor de configuração,

1. Copie o arquivo de configuração mongod existente, atribuindo a ele um nome distinto, como <filename>-secure.conf (ou .cfg se estiver usando Windows). Você usará esse novo arquivo de configuração para fazer a transição de mongod para impor a autenticação no cluster fragmentado. Mantenha o arquivo de configuração original para fins de backup.

2. No novo arquivo de configuração, adicione as seguintes configurações:

   • security.transitionToAuth definido como true

   • security.keyFile definido como o caminho do arquivo-chave.

     Se estiver usando um mecanismo de autenticação interna diferente, especifique as configurações apropriadas para o mecanismo.

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

Um de cada vez, reinicie o mongod com o novo arquivo de configuração.

Reinicie o conjunto de réplicas, um membro por vez, começando pelos membros secundários .

1. Para reiniciar os membros secundários um de cada vez,

   1. Conecte-se ao mongod e use o método db.shutdownServer() admin contra o reconhecimento de data center para desligar o mongod com segurança.

      db.getSiblingDB("admin").shutdownServer()

   2. Reinicie o mongod com o novo arquivo de configuração, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongod-secure.conf:

      mongod --config <path>/mongod-secure.conf

      onde <path> representa o caminho do sistema para a pasta que contém o novo arquivo de configuração.

   Quando este membro estiver ativo, repita para o próximo membro secundário .

2. Depois que todos os membros secundários tiverem sido reiniciados e estiverem ativos, reinicie o primary:

   1. Conecte-se ao mongod.

   2. Use o método rs.stepDown() para descer a primária e trigger uma eleição.

      rs.stepDown()

      Você pode usar o método rs.status() para garantir que o conjunto de réplicas tenha escolhido um novo primário.

   3. Depois de descer o primário e um novo primário tiver sido eleito, encerre o primário antigo usando o método { db.shutdownServer() admin no reconhecimento de data center .

      db.getSiblingDB("admin").shutdownServer()

   4. Reinicie o mongod com o novo arquivo de configuração, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongod-secure.conf:

      mongod --config <path>/mongod-secure.conf

      onde <path> representa o caminho do sistema para a pasta que contém o novo arquivo de configuração.

Remova transitionToAuth dos mongos arquivos de configuração do .

Remova a chave security.transitionToAuth e seu valor dos arquivos de configuração mongos criados durante este tutorial. Deixe a configuração security.keyFile adicionada no tutorial.

security:
   keyFile: <path-to-keyfile>

Reinicie o mongos com o arquivo de configuração atualizado.

Siga o procedimento para reiniciar a instância mongos , um mongos de cada vez:

1. Conecte ao mongos para desligar.

2. Use o método db.shutdownServer() no reconhecimento de data center admin para desligar o mongos com segurança.

   db.getSiblingDB("admin").shutdownServer()

3. Reinicie o mongos com o arquivo de configuração atualizado, especificando o caminho para o arquivo de configuração utilizando --config . Por exemplo, se o arquivo de configuração atualizado foi denominado mongos-secure.conf:

   mongos --config <path>/mongos-secure.conf

Remova transitionToAuth dos mongod arquivos de configuração do .

Remova a chave security.transitionToAuth e seu valor dos arquivos de configuração do servidor de configuração criados durante este tutorial. Deixe a configuração security.keyFile adicionada no tutorial.

security:
   keyFile: <path-to-keyfile>

Um de cada vez, reinicie o mongod com o arquivo de configuração atualizado.

Reinicie o conjunto de réplicas, um membro por vez, começando pelos membros secundários .

1. Para reiniciar os membros secundários um de cada vez,

   1. Conecte-se ao mongod e use o método db.shutdownServer() admin contra o reconhecimento de data center para desligar o mongod com segurança.

      db.getSiblingDB("admin").shutdownServer()

   2. Reinicie o mongod com o arquivo de configuração atualizado, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongod-secure.conf:

      mongod --config <path>/mongod-secure.conf

      onde <path> representa o caminho do sistema para a pasta que contém o arquivo de configuração atualizado.

   Quando este membro estiver ativo, repita para o próximo membro secundário .

2. Depois que todos os membros secundários tiverem sido reiniciados e estiverem ativos, reinicie o primary:

   1. Conecte-se ao mongod.

   2. Use o método rs.stepDown() para descer a primária e trigger uma eleição.

      rs.stepDown()

      Você pode usar o método rs.status() para garantir que o conjunto de réplicas tenha escolhido um novo primário.

   3. Depois de descer o primário e um novo primário tiver sido eleito, encerre o primário antigo usando o método { db.shutdownServer() admin no reconhecimento de data center .

      db.getSiblingDB("admin").shutdownServer()

   4. Reinicie o mongod com o arquivo de configuração atualizado, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongod-secure.conf:

      mongod --config <path>/mongod-secure.conf

      onde <path> representa o caminho do sistema para a pasta que contém o arquivo de configuração atualizado.

Remova transitionToAuth dos mongod arquivos de configuração do .

Remova a chave security.transitionToAuth e seu valor dos arquivos de configuração do servidor de configuração criados durante este tutorial. Deixe a configuração security.keyFile adicionada no tutorial.

security:
   keyFile: <path-to-keyfile>

Um de cada vez, reinicie o mongod com o arquivo de configuração atualizado.

Reinicie o conjunto de réplicas, um membro por vez, começando pelos membros secundários .

1. Para reiniciar os membros secundários um de cada vez,

   1. Conecte-se ao mongod e use o método db.shutdownServer() admin contra o reconhecimento de data center para desligar o mongod com segurança.

      db.getSiblingDB("admin").shutdownServer()

   2. Reinicie o mongod com o arquivo de configuração atualizado, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongod-secure.conf:

      mongod --config <path>/mongod-secure.conf

      onde <path> representa o caminho do sistema para a pasta que contém o arquivo de configuração atualizado.

   Quando este membro estiver ativo, repita para o próximo membro secundário .

2. Depois que todos os membros secundários tiverem sido reiniciados e estiverem ativos, reinicie o primary:

   1. Conecte-se ao mongod.

   2. Use o método rs.stepDown() para descer a primária e trigger uma eleição.

      rs.stepDown()

      Você pode usar o método rs.status() para garantir que o conjunto de réplicas tenha escolhido um novo primário.

   3. Depois de descer o primário e um novo primário tiver sido eleito, encerre o primário antigo usando o método { db.shutdownServer() admin no reconhecimento de data center .

      db.getSiblingDB("admin").shutdownServer()

   4. Reinicie o mongod com o arquivo de configuração atualizado, especificando o caminho para o arquivo de configuração utilizando --config. Por exemplo, se o novo arquivo de configuração foi denominado mongod-secure.conf:

      mongod --config <path>/mongod-secure.conf

      onde <path> representa o caminho do sistema para a pasta que contém o arquivo de configuração atualizado.