MongoDB Enterprise Kubernetes Operator 发布说明

新增功能

• MongoDB资源：添加了对为 MongoDB 进程、监控代理和备份代理启用日志轮换的支持。要了解更多信息，请参阅 MongoDB CRD 日志轮换设置。

  使用以下设置来配置每个组件的日志轮换：

  • spec.agent.mongod.logRotate 对于 mongoDB 进程。

  • spec.agent.mongod.auditlogRotate 用于 mongoDB 进程审核日志。

  • spec.agent.backupAgent.logRotate 用于备份代理。

  • spec.agent.monitoringAgent.logRotate 用于监控代理。

  • spec.agent.readinessProbe.environmentVariables表示运行就绪探针所使用的环境变量。此设置也适用于与日志轮换相关的设置。要了解有关支持的环境设置的更多信息，请参阅 就绪探针。

  • spec.applicationDatabase.agent.<component>.logRotate 用于应用程序数据库。

  对于分片集群，Kubernetes Operator 仅支持在spec.Agent设置下配置日志轮换，而不支持按进程类型（例如mongos或configsrv配置日志轮换。

• OpsManager资源：添加对替换logback.xml 配置文件的支持，该文件配置一般日志记录设置，例如 Ops Manager 和 Ops Manager 备份的日志轮换。

  使用以下设置：

  • spec.logging.logBackAccessRef用于 ConfigMap 和访问密钥以及要挂载到 Ops Manager Pod 的logback访问配置文件。将 ConfigMap 的访问键命名为logback-access.xml 。此文件配置对 Ops Manager 日志记录配置文件的访问权限。

  • spec.logging.logBackRef用于 ConfigMap 和访问密钥以及要挂载到 Ops Manager Pod 上的logback配置文件。此文件配置 Ops Manager 的一般日志记录行为，包括日志轮换策略、日志级别和其他日志记录参数。将 ConfigMap 的访问键命名为logback.xml 。

  • spec.backup.logging.logBackAccessRef用于 ConfigMap 和访问密钥以及要挂载到 Ops Manager Pod 的logback访问配置文件。将 ConfigMap 的访问键命名为logback-access.xml 。此文件配置对 Ops Manager 备份的日志记录配置文件的访问权限。

  • spec.backup.logging.logBackRef用于 ConfigMap 和访问密钥以及要挂载到 Ops Manager Pod 上的logback配置文件。此文件配置 Ops Manager 备份的一般日志记录行为，包括日志轮换策略、日志级别和其他日志记录参数。将 ConfigMap 的访问键命名为logback.xml 。

弃用

• 应用程序数据库的spec.applicationDatabase.agent.logRotate设置已弃用。请改用spec.applicationDatabase.agent.mongod.logRotate 。

缺陷修复

• 代理启动器：修复了在某些重新同步情况下， /journal中的日志数据可能已损坏的问题。现在，助手可确保不存在冲突的日志数据，并优先处理来自/data/journal的数据。要停用此行为，请将 Kubernetes Operator 中的环境变量MDB_CLEAN_JOURNAL设置为1以外的任何值。

• MongoDB 、 AppDB 、 MongoDBMulti资源：修复了一个问题，确保在connectionString中使用外部域（如果配置）。

• MongoDB资源：如果您提供的 Horizon 配置短于成员数量，则会删除紧急响应。现在，在这种情况下，Kubernetes Operator 会在 MongoDB 资源状态中发出描述性错误。

• MongoDB资源：修复了以下问题：在以另一个项目前缀命名的新项目中创建资源时会失败，从而导致无法创建 MongoDB 资源。

新增功能

• 提高 CPU 利用率和 Kubernetes Operator 的垂直扩展，并允许您控制 Kubernetes Operator 可以并行执行的协调数量，从而更快地协调所有托管资源。

  您可以为 Kubernetes Operator 部署设置MDB_MAX_CONCURRENT_RECONCILES ，或在 Kubernetes Operator 安装 Helm 图表中设置operator.maxConcurrentReconciles 。如果未提供，则默认值为1 。控制协调数量的功能可能会导致 Ops Manager 和 Kubernetes API Server 在同一时间窗口内的负载增加。观察 Kubernetes Operator 资源使用情况，并根据需要调整operator.resources.requests和operator.resources.limits 。要了解更多信息，请参阅 Kubernetes 文档中的 Pod和容器的资源管理。

• 添加了对 OpenShift 4的支持。 15 。要了解更多信息，请参阅MongoDB Enterprise Kubernetes Operator 兼容性。

Helm Chart 安装更改

• 添加了operator.maxConcurrentReconciles参数，该参数允许您控制 Kubernetes Operator 可以并行执行的协调数量。默认值为1 。

• 添加了Operator.webhook.installClusterRole参数，用于控制是否安装集群角色，从而允许 Kubernetes Operator 配置准入 Webhook。如果不允许使用集群角色，请将此参数设置为false 。默认值为true 。

缺陷修复

• MongoDB资源：修复了一个错误：在spec.agent.startupOptions中配置具有多个条目的 MongoDB 资源会导致底层StatefulSet进行额外不必要的调节。

• MongoDB、MongoDBMultiCluster资源：修复了 Kubernetes Operator 无法监控为 MongoDB 助手身份验证配置的 X- 509证书更改的错误。

• MongoDB 资源：修复了以下错误：如果传递给 MongoDBfalse 助手的布尔标志的默认值为 ，则无法将其设置为true 。

破坏性变更 (breaking change)

• MongoDBOpsManager资源。 Kubernetes Operator 不再支持MongoDB Ops Manager 5.0。 升级到更高版本的MongoDB Ops Manager 。 虽然MongoDB Ops Manager5.0 可能会继续与Kubernetes Operator 配合使用，但MongoDB KubernetesMongoDB Ops Manager5.0不会针对 测试 Operator。

新增功能

• MongoDBOpsManager 资源：新增对在多个MongoDB Ops Manager Kubernetes集群上部署 应用程序的支持。要了解更多信息，请 参阅在多个 MongoDB Ops Manager集群上部署Kubernetes 资源。

• （公共预览版） MongoDB 、 OpsManager资源：为所有类型的部署引入可选的静态容器（公共预览版） 。

  • 在此版本中，仅将静态容器用于测试目的。 静态容器可能会成为后续版本中的默认容器。

  • 要激活静态容器模式，请将 Kubernetes Operator 级别的MDB_DEFAULT_ARCHITECTURE环境变量设置为static 。或者，使用mongodb.com/v1.architecture: "static"注释特定的MongoDB或OpsManager自定义资源。

  • Kubernetes Operator 支持静态和非静态架构之间的无缝迁移。 要了解详情，请参阅：

    • 使用静态容器

    • 迁移到静态容器

• OpsManager资源：添加spec.internalConnectivity字段以允许覆盖 Kubernetes Operator 所使用的服务，从而确保与OpsManager资源托管 Pod 的内部连接。

• MongoDB资源：您可以恢复由于分片集群中的自动化配置损坏而导致的资源。 在以前的版本中，您可以恢复其他类型的资源，但不能恢复分片集群。 要了解更多信息，请参阅恢复因自动化配置损坏而导致的资源。

• MongoDB 、 MongoDBMultiCluster资源：这些资源现在允许您在外部服务中添加占位符。

  • 您可以定义 注解 用于 Kubernetes Operator 管理的外部服务，其中包含占位符，这些占位符将自动替换为正确的值。以前，Kubernetes Operator 会为每个 Pod 创建的所有外部服务配置相同的注释。从此版本开始，您可以添加占位符，以便 Kubernetes Operator 可以使用与每个特定 Pod 相关且唯一的值在每个服务中自定义注解。要了解详情，请参阅：

    • MongoDB 资源： spec.externalAccess.externalService.annotations

    • MongoDBMultiCluster 资源spec.externalAccess.externalService.annotations

• kubectl mongodb插件：允许您在使用该插件时打印版本信息。

• kubectl mongodb插件的setup命令：添加registry.imagePullSecrets设置。如果指定，创建的服务帐户将引用imagePullSecrets字段上的指定密钥。

• 改进了以下情况下的配置处理：Kubernetes Operator 监控多个命名空间，以及您将 Kubernetes Operator 安装在与 Kubernetes Operator 监控资源的命名空间不同的命名空间中。

• 使用每个 Kubernetes 集群使用单个服务帐户，优化成员 Kubernetes 集群中的角色和权限设置，并为每个受监视的命名空间正确配置角色和角色绑定（不需要集群角色）。

• 通过每24小时触发一次的基于时间的核对，扩展现有的基于事件的核对流程。 这可确保所有监控代理始终及时升级。

• OpenShift 和 OLM Operator：删除了对集群范围权限的要求。 以前，Kubernetes Operator 需要这些权限来配置准入 Webhook。 从此版本开始，Webhook 由 OLM 自动配置。

• 为 Kubernetes Operator 添加可选的MDB_WEBHOOK_REGISTER_CONFIGURATION环境变量。 该变量控制 Kubernetes Operator 是否应执行自动准入 Webhook 配置。 默认值为true 。 对于 OLM 和 OpenShift 部署，该变量设置为false 。

Helm Chart 安装更改

• 将默认值agent.version更改为107.0.0.8502-1 。 这会更改使用 Helm Chart 安装的 Kubernetes Operator 部署中使用的默认代理。

• 添加operator.additionalArguments变量（默认值为[] ，以允许您为 Kubernetes Operator 二进制文件传递其他参数。

• 添加operator.createResourcesServiceAccountsAndRoles变量（默认值为true ，以控制是否为MongoDB和OpsManager资源安装角色和服务帐号。 当您使用kubectl mongodb插件为多 Kubernetes 集群部署配置 Kubernetes Operator 时，该插件会安装所有必要的角色和服务帐户。 因此，为避免冲突，在某些情况下，请勿使用 Kubernetes Operator Helm 图表安装这些角色。

缺陷修复

• MongoDBMultiCluster资源：修复了 Kubernetes Operator 报告spec.externalAccess.externalDomain和spec.clusterSpecList[*].externalAccess.externalDomains字段为必填字段（即使未使用）的问题。 如果自定义资源包含已定义的spec.externalAccess结构，Kubernetes Operator 会过早触发对这些字段的验证。 从此版本开始，仅当您在spec.externalAccess.externalDomain或spec.clusterSpecList[*].externalAccess.externalDomains设置中定义外部域时，Kubernetes Operator 才会检查外部域的唯一性。

• MongoDB资源：修复了一个错误：删除 MongoDB 资源后，相关MongoDB Ops Manager或Cloud Manager实例上仍保留设置的 controlledFeature 策略，导致在丢失Kubernetes Operator 时无法在用户界面中进行清理。

• OpsManager资源：修复了删除OpsManager自定义资源时admin-key密钥被删除的问题。 修复 admin-key 密钥删除问题可以更轻松地重新安装MongoDB Ops Manager 。

• MongoDB 就绪探针：修复了就绪探针的误导性错误消息： "... kubelet Readiness probe failed:..." 。 这会影响所有 MongoDB 部署。

• Operator ：修复了在某些情况下，在与OpsManager自定义资源通信时 Kubernetes Operator 跳过 TLS 验证（即使您启用了 TLS）的情况。

改进

• Kubectl 插件 ：现已对已发布的kubectl mongodb 插件二进制文件进行签名，并且签名与 发布资产 一起发布 。可以在此地址获取公钥。 已发布的kubectl mongodb插件二进制文件也针对 MacOS 进行了公证。

• 已发布映像已签名：为 Kubernetes Operator 发布的所有容器映像均经过加密签名。 这在 MongoDB Quay 注册表。您可以使用 MongoDB 公钥验证签名。 可通过此地址获取已发布的映像。

MongoDBOpsManager 资源

缺陷修复

• 修复无法正确终止备份的问题。

警告和重大更改

• 将组件映像版本号与 Kubernetes Operator 版本标签保持一致，以便清楚哪些映像与哪个版本的 Kubernetes Operator 匹配。这会影响以下映像：

  • quay.io/mongodb/mongodb-enterprise-database-ubi

  • quay.io/mongodb/mongodb-enterprise-init-database-ubi

  • quay.io/mongodb/mongodb-enterprise-init-appdb-ubi

  • quay.io/mongodb/mongodb-enterprise-init-ops-manager-ubi

  要了解更多信息，请参阅 MongoDB Enterprise Kubernetes Operator kubectl 和 oc 安装设置和 MongoDB Enterprise Kubernetes Operator Helm 安装设置。

• 将 spec.exposedExternally（在 Kubernetes Operator 1.19 中已弃用）替换为 spec.externalAccess。

缺陷修复

• 修复当成员集群失去连接时，在多 Kubernetes 集群 MongoDB 部署中扩展副本集的问题。 该修复涉及手动和自动恢复过程。

• 修复更改自动化代理和 MongoDB 审核日志的名称导致它们无法发送到 Kubernetes Pod 日志的问题。从 Kubernetes Operator 1.22 开始，MongoDB 审核日志的文件名没有限制。

• 允许以下新日志类型从 mongodb-enterprise-database 容器直接流式传输到 Kubernetes 日志：

  • agent-launcher-script

  • monitoring-agent

  • backup-agent

• 修复了无法将 MongoDBUser 资源存储在 spec.mongodbResourceRef.namespace 中设置的命名空间中的问题。

重大更改

Kubernetes Operator 不再对所有自定义资源使用 Reconciling 状态。大多数情况下，此状态已替换为 Pending 和相应的消息。如果将监控工具与通过 Kubernetes Operator 部署的自定义 MongoDB 资源结合使用，您可能需要调整仪表盘和警报规则才能使用 Pending 状态名称。

MongoDBOpsManager 资源

MongoDB 资源

重大更改

• 将环境变量 CURRENT_NAMESPACE 重命名为 NAMESPACE。该变量追踪 Kubernetes Operator 的命名空间。如果您通过编辑 MongoDB 资源设置此变量，请在升级 Kubernetes Operator时将 CURRENT_NAMESPACE 更新为 NAMESPACE。

缺陷修复

• 修复 StatefulSet 重写标签无法重写 StatefulSet 的问题。

改进

• 支持为 MongoDBMultiCluster 资源配置应用程序数据库和 MongoDB 的备份。

• 添加有关在 GitOps 环境中配置 MongoDBMultiCluster 资源部署的文档。要了解更多信息，请参阅“为 GitOps 配置资源”。

• 将 MetadataWrapper（标签和注解包装器）添加到 MongoDB 资源、MongoDBMultiCluster 资源和 MongoDBOpsManager 资源。包装器支持重写 metadata.Labels 和 metadata.Annotations。

MongoDBOpsManager 资源

重大更改

• 删除超过两年前已弃用的 appdb.connectionSpec.Project。

缺陷修复

• 修复 MongoDBMultiCluster 资源无法监视 Ops Manager 的连接 ConfigMap 和密钥的问题。

• 修复对轮换 clusterfile 密钥的支持，该密钥用于 MongoDB 和 MongoDBMultiCluster 资源中的内部 X.509 身份验证。

MongoDBOpsManager 资源

• 通过引入 spec.applicationDatabase.memberConfig.votes、spec.applicationDatabase.memberConfig.priority 和spec.applicationDatabase.memberConfig.tags 设置添加对投票、优先级和标签的支持。

• 将应用程序数据库映像的容器注册表从 quay.io/mongodb/mongodb-enterprise-appdb-database-ubi 更改为 quay.io/mongodb/mongodb-enterprise-server。升级到此版本时，会导致以下更改：

  • 应用程序数据库映像 values.mongodb.name 的 Helm Charts 设置默认为 mongodb-enterprise-server。

  • Kubernetes Operator 更新应用程序数据库副本集 Pod，以使用 values.mongodb.name Helm 设置中引用的新映像。假设 MongoDB 版本相同，新映像在功能上与之前的映像相同。

  • Kubernetes Operator 会自动将引用新容器注册表的所有应用程序数据库映像的标签后缀从 -ent 更新为 -ubi8，或者更新为 MDB_IMAGE_TYPE 或 mongodb.imageType 中设置的后缀。例如，Kubernetes Operator 将 quay.io/mongodb/mongodb-enterprise-server:4.4.5-ent 更改为 quay.io/mongodb/mongodb-enterprise-server:4.4.5-ubi8。您无需更新 MongoDBOpsManager 资源中的 applicationDatabase.version 设置。

  • 可以将 MDB_APPDB_ASSUME_OLD_FORMAT 或 mongodb.appdbAssumeOldFormat 设置为 true，阻止 Kubernetes Operator 自动更新标签后缀。例如，如果要从自己的存储库镜像此映像，则可能需要停止自动更改后缀。

• 添加了对在 spec.applicationDatabase.version 中指定不带后缀的版本的支持。例如，您可以指定版本，例如 6.0.5，而不添加 -ubi8 后缀。Kubernetes Operator 会自动将其转换为 6.0.5-${MDB_IMAGE_TYPE}。MDB_IMAGE_TYPE 环境变量的默认值为 -ubi8。

新映像

• 将所有镜像更改为默认引用 UBI 变体。新镜像的后缀为 -ubi。

  • quay.io/mongodb/mongodb-enterprise-database-ubi

  • quay.io/mongodb/mongodb-enterprise-init-database-ubi

  • quay.io/mongodb/mongodb-enterprise-ops-manager-ubi

  • quay.io/mongodb/mongodb-enterprise-init-ops-manager-ubi

  • quay.io/mongodb/mongodb-enterprise-init-appdb-ubi

  • quay.io/mongodb/mongodb-agent-ubi

  • quay.io/mongodb/mongodb-enterprise-appdb-database-ubi

• 默认情况下，将 values.mongodb.name 设置为 quay.io/mongodb/mongodb-enterprise-server，即默认应用程序数据库映像存储库使用官方 MongoDB Enterprise 存储库。

• 引入 values.mongodb.imageType 环境变量来重写 MongoDBOpsManager 资源使用的新的默认 -ubi8 应用程序数据库映像标签后缀。

重大更改

将 data.orgId 设为 MongoDB 资源的 ConfigMap 的必填字段。如果您提供空的 orgId，例如：orgId = ""，Ops Manager 会使用项目名称创建组织。在将 Kubernetes Operator 升级到 1.19.1 之前，请在 Ops Manager ConfigMap 中设置 orgId:"" 并重新应用。

改进

• 引入多 Kubernetes 集群 MongoDB 部署。要了解更多信息，请参阅在多个 Kubernetes 集群上部署 MongoDB 资源。

  KubernetesMongoDBbetaKubernetesMongoDB与Kubernetes Operator1.18 .x 中的多 集群 部署支持的 版本相比，对多 集群 部署支持进行了以下更改：

  • 将 Beta 版本中的 MongoDBMulti 资源重命名为 MongoDBMultiCluster 资源。

  • 将 MongoDBMultiCluster 资源的快捷方式名称重命名为 mdbmc。在 MongoDBMultiCluster 资源上的所有命令中使用此快捷方式名称。例如，要检查 MongoDBMultiCluster 资源的状态，请运行：

    kubectl get mdbmc <resource-name> -o yaml -w

  • 将“多集群 CLI”工具重命名为“kubectl mongodb 插件”。要了解更多信息，请参阅 MongoDB 插件参考。

  • 从 MongoDBMultiCluster 资源规范的 clusterSpecList 中删除不必要的中间对象 clusterSpecs。有关 MongoDBMultiCluster 资源配置文件的有效示例，请参阅“Kubernetes 多集群资源规范”。

• 添加了对 Kubernetes 1.26 和 OpenShift 4.12 的支持。如需更多信息，请参阅 MongoDB Enterprise Kubernetes Operator 兼容性。

• 允许您通过在每个分片的 spec.shardSpecificPodSpec 设置下指定一个 podSpecs 数组，为 MongoDB 分片集群中的每个分片配置 podSpec。

• 将 data.orgId 设为 MongoDB 资源的 ConfigMap 的必填字段。如果您提供空的 orgId，例如：orgId = " "，Ops Manager 会使用项目名称创建组织。

• 添加多 Kubernetes 集群资源规范的文档。

• 将 Kubernetes Operator 的常见问题添加到文档中。

• 添加在 Kubernetes Operator MongoDB 部署中配置文件系统备份存储的文档。

MongoDBMultiCluster 资源

• 添加了 spec.clusterSpecList.externalAccess.externalService、spec.clusterSpecList.externalAccess.externalService.annotations、spec.clusterSpecList.externalAccess.externalService 和 spec.clusterSpecList.externalAccess.externalDomain 设置，用于配置 MongoDBMultiCluster 资源的外部连接设置。使用这些设置可以从 Kubernetes 外部连接到多集群资源。

• 添加 spec.clusterSpecList.memberConfig.votes 和 spec.clusterSpecList.memberConfig.priority 设置，用于配置 MongoDBMultiCluster 资源的副本集节点投票和节点优先级。

• 添加了 spec.clusterSpecList.memberConfig.tags 设置，用于向 MongoDBMultiCluster 资源中的副本集节点添加标签。

• 添加了 spec.security.authentication.ldap.timeoutMS 设置，用于指定身份验证请求在超时之前应等待多少毫秒。

MongoDB 资源

• 添加了 spec.memberConfig.votes 和 spec.memberConfig.priority 设置，用于配置副本集节点投票和节点优先级。

• 添加 spec.memberConfig.tags 设置，用于向副本集节点添加标签。

• 添加 spec.podSpec.podTemplate.affinity.podAffinity 设置，以确定多个 MongoDB 资源 Pod 是否必须与分片 MongoDB 集群部署中的其他 Pod 位于同一位置。要了解有关使用案例的更多信息，请参阅 Kubernetes 文档中的关联性和反关联性。

• 添加了 spec.externalAccess 设置，用于配置 MongoDB 资源的外部连接。使用此设置可以从 Kubernetes 外部连接到 MongoDB 资源。

• 弃用了 spec.exposedExternally 设置。此设置将在 Kubernetes Operator 1.23.0 版本中移除。要从 Kubernetes 外部连接到 MongoDB 资源，请改用 spec.externalAccess 设置。

缺陷修复

• 修复多 Kubernetes 集群 MongoDB 部署的WATCH_NAMESPACE='*'环境变量的处理。 在以下情况下，成员集群的 API 客户端配置不正确，导致部署错误：

  • 为多 Kubernetes 集群 MongoDB 部署指定了WATCH_NAMESPACE='*'环境变量。

  • 在 kubeconfig 中为成员集群设置了特定命名空间。

  • kubectl mongodb插件不用于配置多 Kubernetes 集群 MongoDB 部署。

  这会导致以下错误：

  The secret object 'mdb-multi-rs-cert' does not contain all the valid
  certificates needed: secrets "mdb-multi-rs-cert-pem" already exists

  要避免此问题，请将WATCH_NAMESPACE环境变量设置为特定命名空间，而不是'*' ，并验证节点集群的kubeconfig设置是否未指定命名空间。 要为多 Kubernetes 集群 MongoDB 部署设置命名空间，请参阅设置部署的范围和MongoDB 插件参考。

• 修复设置了 CertificatesSecretsPrefix（证书）但未提供相关的 spec.security.tls 设置（例如 tls.additionalCertificateDomains 或 tls.ca）的问题。

• 修复允许您在不使用 TLS 时为 spec.security.authentication.ldap.transportSecurity 显式指定 none 值的问题。以前，当您省略该值且未指定 tls 值时，Kubernetes Operator 会将此设置视为 none，但 Kubernetes Operator 不允许您显式指定 none 值。

重大更改

该版本移除了基于 Ubuntu 的映像。在 1.17.0 中，Kubernetes Operator 中基于 Ubuntu 的映像已被弃用，取而代之的是基于 UBI 的映像。将 Kubernetes Operator 从基于 Ubuntu 的映像迁移到基于 UBI 的映像。所有基于 Ubuntu 的现有映像将继续得到支持，直到其版本的生命周期结束（EOL）日期。

改进

• 添加对 SCRAM-SHA-1 的用户和 MongoDB 助手身份验证的支持。要启用任一身份验证，请在 spec.security.authentication.modes 和 spec.security.authentication.agents.mode 设置中使用 MONGODB-CR 和 SCRAM-SHA-1。

• 添加对 OpsManager 备份配置的以下功能的支持：

  • 通过 OpsManager backup.encryption.kmip 和 MongoDB backup.encryption.kmip 设置中的 spec.backup.encryption.kmip 参数支持 KMIP 备份配置。要了解更多信息，请参阅为 Ops Manager 配置 KMIP 备份加密。

  • 在 OpsManager 和 MongoDB 备份资源的 spec.backup.[*].assignmentLabels 元素中备份分配标签。使用分配标签指定特定备份存储是否与特定项目相关联。要了解详情，请参阅：

    • backup.assignment.Labels for Ops Manager resources

    • backup.assignment.Labels for MongoDB resources

    • 配置 MongoDB 数据库备份

    • 部署 Ops Manager 资源

  • 通过 OpsManager 资源中的 spec.backup.snapshotSchedule 设置备份快照计划配置。要了解更多信息，请参阅配置 MongoDB 数据库备份。

• 添加了对多 Kubernetes 集群 MongoDB 部署中的灾难恢复的支持（beta 版本中）。 要了解更多信息，请参阅灾难恢复和MongoDB kubectl 插件参考。

MongoDB 资源

• 添加 spec.additionalMongodConfig.net.tls.disabledProtocols 的文档。

缺陷修复

• 修复以下问题：配置活性探测器并在终止 MongoDB 助手进程时报告阳性结果。这可能会导致托管 MongoDB 资源的 Pod 在没有 MongoDB 助手的情况下运行。除了此修复之外，请考虑配置就绪情况探测器覆盖。

• 修复数据库 Pod 中的启动脚本，该脚本可能会在 Pod 重启时报告错误。

重大更改

由于此问题，安装此版本可能会导致托管 Ops Manager 数据库 AppDB 的 Pod 出现 ImagePullBackOff 错误。错误如下所示：

Failed to pull image "quay.io/mongodb/mongodb-agent-ubi@sha256:a4cadf209ab87eb7d121ccd8b1503fa5d88be8866b5c3cb7897d14c36869abf6": rpc error: code = Unknown desc = reading manifest sha256:a4cadf209ab87eb7d121ccd8b1503fa5d88be8866b5c3cb7897d14c36869abf6 in quay.io/mongodb/mongodb-agent-ubi: manifest unknown: manifest unknown

要继续使用 Kubernetes Operator v1.17.1，请使用以下解决方法并使用以下 spec.config.env 更新 Kubernetes Operator 订阅：

spec:
 config:
   env:
     - name: AGENT_IMAGE
       value: >-
       quay.io/mongodb/mongodb-agent-ubi@sha256:ffa842168cc0865bba022b414d49e66ae314bf2fd87288814903d5a430162620
     - name: RELATED_IMAGE_AGENT_IMAGE_11_0_5_6963_1
       value: >-
       quay.io/mongodb/mongodb-agent-ubi@sha256:e7176c627ef5669be56e007a57a81ef5673e9161033a6966c6e13022d241ec9e
     - name: RELATED_IMAGE_AGENT_IMAGE_11_12_0_7388_1
       value: >-
       quay.io/mongodb/mongodb-agent-ubi@sha256:ffa842168cc0865bba022b414d49e66ae314bf2fd87288814903d5a430162620
     - name: RELATED_IMAGE_AGENT_IMAGE_12_0_4_7554_1
       value: >-
       quay.io/mongodb/mongodb-agent-ubi@sha256:3e07e8164421a6736b86619d9d72f721d4212acb5f178ec20ffec045a7a8f855

安装新的 Kubernetes Operator v1.17.2 后立即删除此解决方法。

此版本具有以下额外重大更改：

• 从 Kubernetes Operator Helm 图表中删除 operator.deployment_name 参数。在以前的版本中，您可能已使用此参数自定义 Kubernetes Operator 容器的名称。

  从此版本开始，operator.name Helm 图表参数的值决定 Kubernetes Operator 容器的名称。

  仅当您将 operator.deployment_name 设置为与 operator.name 不同的值并且将工具配置为依赖于 operator.deployment_name 的值时，这才是重大更改。

改进

• 在 OpenShift 上使用了 Quay 作为 Kubernetes Operator 的映像注册表。升级 Kubernetes Operator 部署时，它会自动从 Quay 拉取新映像。您无需采取任何行动。

改进

• 引入对 Ops Manager 6.0 的支持。

• 引入spec.backup.s3OpLogStores.s3RegionOverride 和 参数，用于指定用于 oplog 存储spec.backup.s3Stores.s3RegionOverride 或 快照存储 的自定义 S 兼容存储桶应驻留的区域。3

• 通过引入以下设置提高安全性：

  • 所有已部署容器的readOnlyRootFilesystem设置。 此更改还引入了额外 的卷和卷挂载。

  • allowPrivilegeEscalation 设置。对于所有已部署容器，此设置默认为 false。

重大变更和弃用

此版本：

• 由于MongoDB Ops Manager 4.4生命周期已结束，因此不再支持该产品。 如果您使用的是MongoDB Ops Manager 4.4，请先升级到较新的MongoDB Ops Manager版本，然后再升级到Kubernetes Operator 1。17

• 弃用基于 Ubuntu 的映像。从 Kubernetes Operator 1.19.0 开始，基于 Ubuntu 的映像将不再可用。所有基于 Ubuntu 的现有映像将继续得到支持，直到其版本的生命周期结束 (EOL) 日期。我们强烈建议您尽快将 MongoDB Enterprise Kubernetes Operator 从基于 Ubuntu 的映像迁移到基于 UBI 的映像。

• 移除对连接的 PEM 格式 TLS 证书的支持。这些证书在 Kubernetes Operator 1.13.0 中已弃用。如果您想使用这些证书，您可以升级到的最后一个版本是 Kubernetes Operator 1.16.4。

  从 Kubernetes Operator 1.17.0开始 版本，您必须手动将旧式 TLS 密钥从 opaque 迁移到 kubernetes.io/tls 通过创建包含相关证书和签名密钥的新密钥来键入密钥。要了解如何创建这些密钥，请参阅以下资源：

  • 部署副本集

  • 使用 X.509 进行安全内部身份验证

MongoDB 资源

• Init-Ops-Manager 和 Operator 二进制文件现在使用 Go 1.18.4，解决了安全问题。

MongoDB 资源

• 修复以下错误：在 Pod 级别定义的 securityContext 不受尊重，因为 Kubernetes Operator 在容器级别使用 securityContext 覆盖它。要了解详情，请参阅 spec.persistent 设置的说明。

• 为 spec.security.authentication.ldap 对象添加 timeoutMS 和 userCacheInvalidationInterval 字段。

• 修复配置 ShardedCluster 资源时忽略 mongos、configSrv 和 shard 对象的 additionalMongodConfig.net.tls.mode 设置的行为。

MongoDB 资源

• 删除 spec.podSpec.podAntiAffinityTopologyKey、spec.podSpec.podAffinity 和 spec.podSpec.nodeAffinity 设置。

  请改用 spec.podSpec.podTemplate 配置这些参数。

MongoDBOpsManager 资源

• 删除 spec.applicationDatabase.podSpec.podAntiAffinityTopologyKey、spec.applicationDatabase.podSpec.podAffinity 和 spec.applicationDatabase.podSpec.nodeAffinity 设置。

  请改用 spec.applicationDatabase.podSpec.podTemplate 配置这些参数。

MongoDB 多集群资源

在多 Kubernetes 集群 MongoDB 部署中添加了对LDAP 客户端身份验证和使用 LDAP 管理数据库用户的支持。

此功能是beta版本。 仅在开发环境中使用多 Kubernetes 集群 MongoDB 部署。

MongoDB 资源

• 弃用 spec.service 参数。使用 spec.statefulSet.spec.serviceName 提供自定义服务名称。

MongoDB 资源

• 删除 spec.security.tls.secretRef.name 参数。

  • Kubernetes Operator 版本 v1.10.0 已弃用此参数。

  • 要指定包含数据库证书的密钥名称，请使用 spec.security.certsSecretPrefix。

  • 相应地创建包含证书的密钥。

• 删除 spec.podSpec.cpu 和 spec.podSpec.memory 参数。

  要覆盖数据库 Pod 的 CPU/内存资源，请设置 spec.podSpec.podTemplate.spec.containers 下的 statefulset 参数。

• 将 metadata.labels 下指定的自定义标签传播到数据库 StatefulSet 和永久卷声明对象。

• 允许使用 spec.prometheus 配置属性将 Prometheus 抓取端点添加到 MongoDB 资源。

  • 在 GitHub 存储库中查找 Prometheus 配置示例。

MongoDBOpsManager 资源

• 删除 spec.applicationDatabase.security.tls.secretRef.name 参数。

  • Kubernetes Operator 版本 v1.10.0 已弃用此参数。

  • 要指定包含 AppDB 证书的密钥名称，请使用 spec.applicationDatabase.security.certsSecretPrefix 参数。

  • 相应地创建包含证书的密钥。

• 删除 spec.applicationDatabase.podSpec.cpu 和 spec.applicationDatabase.podSpec.memory。

  要覆盖 AppDB Pod 的 CPU/内存资源，请使用 spec.applicationDatabase.podSpec.podTemplate.spec.containers 下的 statefulset 参数。

• 将 metadata.labels 下指定的自定义标签传播到 Ops Manager、AppDB 和 BackupDaemon StatefulSets 以及持久卷声明对象。

• 允许使用 spec.applicationDatabase.prometheus 配置属性将 Prometheus 抓取端点添加到 ApplicationDatabase 资源。

MongoDBUser 资源

添加可选参数 spec.connectionStringSecretName。此参数为 Kubernetes Operator 生成的用户特定连接字符串密钥提供确定性密钥名称。

MongoDBOpsManager 资源

MongoDB 资源

MongoDBOpsManager 资源

MongoDB 资源

MongoDBOpsManager 资源

新映像

通过以下网址查找所有新映像：

• https://quay.io/repository/mongodb（基于 ubuntu）

• https://connect.redhat.com/（基于 RHEL）

Kubernetes Operator

Kubernetes Operator 版本1.15.1 修复了在管理启用 TLS 的应用程序数据库（其 TLS 证书存储在 Opaque 中）时阻止 Kubernetes Operator 升级的问题。 的秘密。

我们建议您升级到 Kubernetes Operator 1.16.0 或更高版本。

我们强烈建议不要升级到 Kubernetes Operator 版本 1.14.0 或 1.15.0。

MongoDB 资源

MongoDBOpsManager 资源

Kubernetes Operator

MongoDB 资源

MongoDBOpsManager 资源

• Kubernetes Operator 现在会报告您在 MongoDBOpsManager 资源规范的 spec.backup.fileSystemStores 设置中配置的文件系统快照存储的状态。

  必须手动配置文件系统快照存储。

• 此版本向 MongoDBOpsManager 资源规范添加了新字段 spec.backup.externalServiceEnabled。

  默认情况下，Kubernetes Operator 会创建一个 LoadBalancer 服务（ 启用可查询备份时）。

  在启用可查询备份之前，将 spec.backup.externalServiceEnabled 设置为 false，以防止 Kubernetes Operator 创建 LoadBalancer 服务。

• 现在，当您将 Ops Manager 部署升级到 5.0.0 或更高版本时，Kubernetes Operator 会自动将个人 API 密钥升级为编程 API 密钥。您不再需要手动更改密钥来升级部署。

• 此版本添加了 spec.security.certsSecretPrefix 字段来确定您必须为包含 MongoDBOpsManager 资源的 TLS 证书的密钥提供的名称。

  要了解更多信息，请参阅部署 Ops Manager 资源教程中的 spec.security.certsSecretPrefix 和 HTTPS 标签页。

MongoDBUser 资源

其他

• Ops Manager 4.4.7、4.4.9、4.4.10、4.4.11、4.4.12 和 4.4.13基础镜像已更新至 Ubuntu 20.04。

• 现已支持 Ops Manager 版本 4.4.16 和 5.0.1。

MongoDB 资源

• 如果在设置为 true 后将 spec.externalConnectivity 设置为 false，Kubernetes Operator 会删除相应的服务。

MongoDBOpsManager 资源

• 如果在设置为 true 后将 spec.externalConnectivity 设置为 false，Kubernetes Operator 会删除相应的服务。

• 您可以使用 spec.backup.members 指定备份守护程序 Pod 的数量。如果未设置，默认值为 1。

对映像和支持版本的更改

• Kubernetes Operator 现在支持以下 Ops Manager 版本：

  • 4.4.13、4.4.14、4.4.15、4.2.25 和 5.0.0。

• 在将 Ops Manager 升级到版本 5.0.0 之前，请检查 Kubernetes Operator 是否使用编程 API 密钥。

• 基于 Ubuntu 的 Kubernetes Operator 映像现在基于 Ubuntu 20.04，而不是 Ubuntu 16.04。

• 从 2.0.1 开始，基于 Ubuntu 的 MongoDB 映像基于 Ubuntu 18.04，而不是 Ubuntu 16.04。

  警告

  MongoDB 4.0。不支持 Ubuntu 18.04

  MongoDB 4.0 不支持 Ubuntu 18.04。如果要结合使用 MongoDB 4.0 和 Kubernetes Operator，请使用之前发布的映像。

• 4.4.13 之后，基于 Ubuntu 的 Ops Manager 映像基于 Ubuntu 20.04，而不是 Ubuntu 16.04。

• Kubernetes Operator、Ops Manager 和 MongoDB 的新发布 UBI 映像基于 ubi-minimal，而不是 ubi。

Kubernetes Operator

删除“迁移到一个资源/项目（版本1.3.0必需）”主题 ，因为v. 1.3.0已生命周期结束 (EOL) 。 此主题已存档。

新映像

• mongodb-agent 10.29.0.6830-1 位于以下注册表中：

  • UBI 映像： quay.io/mongodb/mongodb-agent-ubi:10.29.0.6830 -1

  • Ubuntu 映像： quay.io/mongodb/mongodb-agent:10.29.0.6830 -1

• mongodb-enterprise-appdb-database 位于以下注册表中：

  • UBI 映像：quay.io/mongodb/mongodb-enterprise-appdb-database-ubi

  • Ubuntu 镜像：quay.io/mongodb/mongodb-enterprise-appdb-database

• mongodb-enterprise-init-appdb 1.0.7 位于以下注册表中：

  • UBI 映像： quay.io/mongodb/mongodb-enterprise-init-appdb-ubi:1.0.7

  • Ubuntu 映像： quay.io/mongodb/mongodb-enterprise-init-appdb:1.0.7

• mongodb-enterprise-init-database 1.0.3 位于以下注册表中：

  • UBI 映像： quay.io/mongodb/mongodb-enterprise-init-database-ubi:1.0.3

  • Ubuntu 映像： quay.io/mongodb/mongodb-enterprise-init-database:1.0.3

MongoDBOpsManager 资源

• spec.applicationDatabase.persistent 设置已删除。Kubernetes Operator 始终将持久卷用于由 MongoDBOpsManager 自定义资源部署的应用程序数据库。

Kubernetes Operator

MongoDBOpsManager 资源

Kubernetes Operator

MongoDBOpsManager 资源

新映像

• mongodb-enterprise-operator:1.9.2

您可以在以下注册表中找到所有映像：

• 基于 Ubuntu 的映像：https://quay.io/repository/mongodb

• 基于 RHEL 的映像：/mongodb-enterprise-operator

Kubernetes Operator

MongoDB 资源

MongoDBOpsManager 资源

新映像

• mongodb-enterprise-operator:1.9.1

• mongodb-enterprise-appdb:10.2.15.5958-1_4.2.11-ent

• mongodb-enterprise-init-appdb:1.0.2

• mongodb-enterprise-init-database:1.0.6

您可以在以下注册表中找到所有映像：

• 基于 Ubuntu 的映像：https://quay.io/repository/mongodb

• 基于 RHEL 的映像 ： https://catalog.redhat.com/software/containers/mongodb/enterprise-operator/5 b8052 d069 aea356 ff258479

Kubernetes Operator

MongoDB 资源

MongoDBOpsManager 资源

新映像

• mongodb-enterprise-operator:1.9.0

您可以在以下注册表中找到所有映像：

• 基于 Ubuntu 的映像：https://quay.io/repository/mongodb

• 基于 RHEL 的映像 ： https://catalog.redhat.com/software/containers/mongodb/enterprise-operator/5 b8052 d069 aea356 ff258479

已知问题

• 您不能将 MongoDB 4.4 用作 Ops Manager 资源的应用程序数据库。

错误修复

修复了启用 spec.externalConnectivity 和 spec.backup.enabled 时 Ops Manager 资源将达到 Failing 状态的问题。

已知问题

• 您不能将 MongoDB 4.4 用作 Ops Manager 资源的应用程序数据库。

• 当在 Ops Manager 中同时启用 spec.externalConnectivity 和 spec.backup.enabled 时，Ops Manager 资源无法协调。

缺陷修复

• 修复了创建 MongoDB 资源后无法修改 spec.security.authentication.ignoreUnknownUsers 的错误。

• 修复失败的可查询备份。Kubernetes Operator 现在创建一个 Kubernetes 服务，Ops Manager 使用该服务来访问备份。

• 修复无法从非 TLS 迁移到支持 TLS 的应用程序数据库的问题。

改进

• Init 容器不以根身份运行。

• Ops Manager 备份守护程序在非特权模式下运行。

• 要管理数据库 Pod 资源，请使用 spec.podSpec.podTemplate MongoDB 自定义资源属性。有关每种支持类型的资源定义示例，请参阅 samples/mongodb/podspec 目录。以下属性已弃用：

  • spec.podSpec.cpu

  • spec.podSpec.cpuRequests

  • spec.podSpec.memory

  • spec.podSpec.memoryRequests

新映像

新的 Ops Manager 映像

有关已安装软件包的列表以及在构建过程中检测到的任何安全漏洞，请参阅 MongoDB Enterprise Operator 的 Quay 存储库 和 MongoDB Enterprise 数据库。

MongoDB 资源变更

• 引入新的配置字段：

  • spec.security.authentication.requireClientTLSAuthentication 用于将 MongoDB 助手客户端证书身份验证与任何其他身份验证机制结合使用。

  • spec.security.authentication.agents.clientCertificateSecretRef 用于配置启用 ClientTLSAuthentication 时 MongoDB 助手使用的客户端 TLS 证书。

• 将根据密钥创建的卷的默认权限从 0644 更改为 0640。

Ops Manager 资源更改

• 使用 Ops Manager 4.4 或更高版本时，允许使用 SCRAM-SHA-256 身份验证配置应用程序数据库。

• 更改 字段的验证，以允许与MongoDB Ops Managerspec.version semver 不匹配的标签 要求。spec.version字段必须以表示Major.Minor.Patchstring MongoDB Ops Manager版本的 开头。要了解有关此字段的更多信息，请参阅MongoDB Ops Manager资源规范。

缺陷修复

• 修复导致 Operator 在创建 MongoDB 用户时选择不正确的项目名称的问题。

• 修复导致 MongoDB Ops Manager CRD 的 CA 路径位于错误位置的问题。

• 修复 MongoDB 助手无法正确识别通过 spec.agent.startupOptions 传递的参数的错误。

• 修复并行修改某些配置选项时可能导致死锁的问题。

已知问题

• 您不能将 MongoDB 4.4 用作 Ops Manager 资源的应用程序数据库。

• 启用可查询备份时，必须手动为以下项创建两项附加服务：

  • 公开 Ops Manager Pod 的可查询备份端口（默认值：25999）。

  • 备份守护程序 Pod，确保它可以从 Ops Manager Pod 解析。

• 如果在本地模式下部署 Ops Manager 并从 4.4.1 版本升级，您必须升级位于 automation.versions.directory 中的 MongoDB 工具，默认为 /mongodb-ops-manager/mongodb-releases/。

  提示

  另请参阅：

  配置 Ops Manager 资源以使用本地模式。

MongoDB 资源变更

• 支持使用 spec.security.authentication.agents.automationLdapGroupDN 设置为 MongoDB 助手用户所属的 LDAP 组设置可分辨名称 (DN)。

• 如果您在 spec.security.authentication.modes 中指定了多个模式，则需要您提供 spec.security.authentication.agents.mode。

• 支持使用以下设置为 MongoDB 数据库资源设置 MongoDB 助手启动参数：

  • spec.applicationDatabase.agent.startupOptions

  • spec.agent.startupOptions

  • spec.configSrv.agent.startupOptions

  • spec.mongos.agent.startupOptions

  • spec.shard.agent.startupOptions

缺陷修复

• Ops Manager 资源：

  • 修复了以下错误：无法在 Ops Manager 4.4 中为使用某些 MongoDB 版本的应用程序数据库资源启用 SCRAM-SHA 身份验证。

  • 修复了以下错误：在您为应用程序数据库启用 TLS 时，未在 Ops Manager 中正确配置应用程序数据库监控。

  • 修复了将 Ops Manager CA 配置从 spec.applicationDatabase.security.tls.ca 移至 spec.security.tls.ca 的错误。

• MongoDB 资源：

  • 修复了一个错误，该错误导致您无法在 MongoDB 4.4 部署中将副本集或分片集群中的节点数一次增加或减少多个节点。

  • 修复了以下问题：如果您为 MongoDB 资源启用了 LDAP 身份验证，Kubernetes Operator 无法启用代理身份验证。

  • 修复了以下问题：无法按任意顺序为 MongoDB 资源创建 SCRAM 用户并启用 SCRAM 身份验证。

  • 修复了以下问题：在 MongoDB 资源 Pod 上启动代理之前，Kubernetes Operator 未删除备份自动化配置。

已知问题

• 如果在应用程序数据库上启用 TLS，您不能在 Ops Manager 资源定义中提供 spec.applicationDatabase.version 字段。

• 您不能将 MongoDB 4.4 用作 Ops Manager 资源的应用程序数据库。

• 在升级到 Kubernetes Operator 1.7.1 时，由于部署配置更改，您可能必须删除 mongodb-enterprise-operator 部署。

  这是一项安全的操作。 删除mongodb-enterprise-operator Pod 不会影响 MongoDB 自定义资源。

• 如果使用由自定义 CA 签名的 TLS 证书，您必须：

  • 省略 Ops Manager 资源定义中的spec.version.applicationDatabase设置，并且

  • 以本地模式部署 Ops Manager。您必须手动将待使用的所有 MongoDB 版本的安装存档复制到 Ops Manager StatefulSet 的持久化卷中。

Docker 镜像更改

• 所有 Kubernetes Operator Red Hat Docker 映像现在基于 UBI 8。在以前的版本中，Kubernetes Operator Red Hat Docker 映像基于 UBI 7。

MongoDB 资源变更

• LDAP支持将MongoDB database 作为使用Kubernetes Operator 部署的 资源的授权机制。有关更多信息，请参阅 上的LDAP 配置示例Github

缺陷修复

• 修复了一个错误，该错误导致无法将副本集从三个节点缩减为一个节点。

已知问题

• Ops Manager 无法监控使用 TLS 保护的应用程序数据库。

• 对于 MongoDB 4.4 部署，您只能将副本集或分片集群中的节点数一次增加或减少一个节点。

Ops Manager 资源更改

• 版本 4.4.0 的 Ops Manager 映像已发布。

Docker 镜像更改

• Red Hat database 和 operator Docker 映像现在基于最新的 UBI 7 版本。两个高度严重的问题已得到解决。

• 已发布以下 Docker 映像：

  映像类型	Ubuntu 16.04	Red Hat UBI 7
  Kubernetes Operator	quay.io/mongodb/mongodb-enterprise-operator:1.6.1	quay.io/mongodb/mongodb-enterprise-operator-ubi:1.6.1
  MongoDB 数据库	quay.io/mongodb/mongodb-enterprise-database:1.6.1	quay.io/mongodb/mongodb-enterprise-database-ubi:1.6.1
  Ops Manager	quay.io/mongodb/mongodb-enterprise-ops-manager:4.4.0	quay.io/mongodb/mongodb-enterprise-ops-manager-ubi:4.4.0

缺陷修复

• 修复了以下错误：Kubernetes Operator 未将部署资源的配置存储在密钥中。

• 修复了以下错误：Kubernetes Operator 不允许 Ops Manager 资源中定义的应用程序数据库、oplog 存储和块存储数据库资源使用任何长度或复杂性的密码。

• 修复了以下错误：在删除 MongoDB 数据库资源时，未从 Ops Manager 或 Cloud Manager 项目中删除身份验证配置。

MongoDB 资源变更

• LDAP支持将MongoDB database 作为使用Kubernetes Operator 部署的 资源的身份验证机制。有关更多信息，请参阅 GitHub 上的示例LDAP 配置Github

  注意

  还不支持 LDAP 授权。

Kubernetes Operator 更改

• 在启用备份时，保留 Ops Manager 集群记录以保留备份历史记录。

缺陷修复

• 修复了一个错误，该错误导致在 projectName 包含空格时 Kubernetes Operator 无法引发错误。

• 修复了导致 Ops Manager 无法监控使用 Kubernetes Operator 部署的所有 MongoDB 数据库资源的错误。

MongoDB 资源变更

• 提供其他选项，以便更精细地配置mongod / mongos进程。 您可以在/samples/mongodb/mongodb-options MongoDB Enterprise Kubernetes Operator 存储库 的 文件中找到有关如何应用这些选项的示例。

缺陷修复

• 修复了 1.5.4 中引入的以下错误：在使用早于 4.2.2 的 Ops Manager 版本时，MongoDB Enterprise Kubernetes Operator 无法正确标记项目。在 4.2.2 版本中，MongoDB Enterprise Kubernetes Operator 可以正确标记项目。

MongoDB 资源变更

• 如果 MongoDB 资源对象定义中未提供 spec.security.authentication 设置，则允许使用 Cloud Manager 或 Ops Manager 用户界面修改身份验证设置。

Kubernetes Operator 更改

• 除了 helm template | kubectl apply 以外，还支持使用 helm install 进行 Helm 安装。helm install 现在是使用 Helm 进行安装的建议方法。

• 支持独立于集群身份验证机制配置 MongoDB 助手身份验证机制。

• 支持为应用程序数据库配置监控以将指标发送到MongoDB Ops Manager 。 要了解有关MongoDB Agent监控功能的更多信息，请参阅MongoDB Agent 。

缺陷修复

• 修复了一个错误，该错误影响将身份验证机制从 X.509 转变为 SCRAM。

• 修复了一个错误，该错误导致在 Ops Manager 用户界面中更改 SCRAM 配置时 MongoDB 助手无法达到目标状态。

Kubernetes Operator 更改

将 和MongoDB Ops Manager MongoDB部署配置属性作为 密钥环境变量传递。

缺陷修复

• 正确配置 Ops Manager 和备份守护程序的关闭超时。

• 修复了以下问题：Kubernetes Operator 监视的密钥和 ConfigMap 触发不必要的协调。

• 修复了以下问题：无法在 OpenShift 3.11 中更新自定义资源的状态。

Ops Manager 资源更改

• 在专用服务帐户中运行 Ops Manager 和备份守护程序 Pod。

Kubernetes Operator 更改

• 可以配置 Kubernetes Operator，监视提供的 CustomResourceDefinitions 的子集。有关更多信息，请参阅文档。

• 可生成 CustomResourceDefinitions 而不使用子资源。某些版本的OpenShift 3。11 需要此功能。 要避免使用子资源，请在使用 helm 安装 Kubernetes Operator 时使用--set subresourceEnabled=false 。

缺陷修复

• 修复了在MongoDBOpsManager资源上设置spec.statefulSet和spec.backup.statefulSet字段的问题。

• 修复了一个问题，该问题要求在设置 Webhook 期间重新启动 Kubernetes Operator。

• 修复了如果提供的管理员密码强度不足，可能导致 Ops Manager 资源进入不可恢复状态的问题。

缺陷修复

修复了以下问题：在 Kubernetes Operator 未配置身份验证时，Kubernetes Operator 在 Cloud Manager 或 Ops Manager 中禁用身份验证。除非您明确将 spec.security.authentication.enabled 设置为 false，否则，Kubernetes Operator 不再禁用身份验证。

已知问题

配置 MongoDBOpsManager 资源的 spec.statefulSet.spec 和 spec.backup.statefulSet.spec 设置时，您只能配置 spec.statefulSet.spec.template 和 spec.backup.statefulSet.spec.template 字段。任何其他spec.statefulSet.spec或spec.backup.statefulSet.spec字段都不起作用。

Kubernetes Operator 更改

新增使用部分但非全部 MongoDB CustomResourceDefinition 启动 Kubernetes Operator 的功能 已安装。管理员可以指定容器参数 watch-resource 来限制Kubernetes Operator 部署 MonogDB 实例或MongoDB Ops Manager ，或两者兼而有之。

MongoDB 资源变更

• 使用 spec.security.tls.secretRef 和 spec.security.tls.ca 配置设置添加对自定义 TLS 证书的支持。

• 弃用由 Kubernetes Operator 生成 TLS 证书的功能。建议迁移到自定义 TLS 证书。

Ops Manager 资源更改

• 将 MongoDBOpsManager 资源发布为一般可用 (GA)。MongoDB 现在支持使用 Kubernetes Operator 在生产环境中将 Ops Manager 资源部署到 Kubernetes。

• 支持备份块存储快照存储。

• 默认将应用程序数据库作为备份 S3 快照存储的元数据数据库。

• 支持使用 spec.jvmParameters 和 spec.backup.jvmParameters 在 Ops Manager 和备份守护程序进程中添加或覆盖 JVM 参数。

• 根据 Pod 内存可用性自动配置 Ops Manager 和备份守护程序 Java 虚拟机内存参数。

• 支持 Ops Manager 和应用程序数据库的 TLS。

• 在 status 字段中添加更详细的信息。

• 允许用户在 spec.statefulSet.spec 中指定 PersistentVolumeClaimTemplates，从而支持具有多个副本集的 MongoDBOpsManager 资源的 Ops Manager 本地模式。

• 实现新的映像版本控制方案。

请参阅示例 YAML 文件以了解新功能用法示例。

CVE 描述

MongoDB Enterprise Kubernetes Operator 生成的 X.509 证书可能允许具有 Kubernetes 集群访问权限的攻击者对 MongoDB 实例进行不适当的访问。不使用 X.509 身份验证的客户以及不使用 Kubernetes Operator 生成 X.509 证书的客户不受影响。

常见缺陷列表

CWE-295：不正确的证书验证 CVSS 分数：6.4 CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

受影响的版本

• 1.0 、 1.1

• 1.2.0 - 1.2.4

• 1.3.0 - 1.3.1

• 1.4.0 - 1.4.4

已修复版本

• 1.2.5

• 1.4.5 和更高版本

MongoDB 资源变更

支持Cloud Manager API 中的更改。

Ops Manager 资源更改（Beta 版本）

• 使用终止挂钩正确终止资源。

• 实施更严格的验证。

缺陷修复

• MongoDB 资源：

  • 修复了使用具有自定义 HTTPS 证书的 Ops Manager 时出现的问题。

Kubernetes Operator 更改

添加了 Webhook 以验证 Kubernetes Operator 配置。

MongoDB 资源变更

• 使用 spec.podSpec.podTemplate 设置为 MongoDB 资源 Pod 添加对 sidecar 的支持。

• 允许用户更改 PodSecurityContext 以允许特权 sidecar 容器。

Ops Manager 资源更改（Beta 版本）

• 为 Ops Manager、备份守护程序和应用程序数据库添加 spec.podSpec 配置设置。请参阅 Ops Manager 资源规范。

• 4.2.8 版的 Ops Manager 镜像现已推出。

缺陷修复

• MongoDB 资源：

  • 修复了删除 MongoDB 资源时可能出现的争用情况。

• Ops Manager 资源：

  • 支持 Ops Manager 和应用程序数据库资源的 spec.clusterDomain 设置。

  • 不再为应用程序数据库启动监控和备份进程。

请参阅示例 YAML 文件以了解新功能用法示例。

MongoDB 资源变更

• 在专用 Kubernetes 服务帐户中运行 MongoDB 数据库 Kubernetes Pod：mongodb-enterprise-database-pods。

• 添加 spec.podSpec.podTemplate 设置，以便将模板应用于 Kubernetes Operator 为每个数据库 StatefulSet 生成的 Kubernetes Pod。

• 将spec.clusterName设置重命名为spec.clusterDomain。

Ops Manager 资源更改（Beta 版本）

• 为应用程序数据库添加了离线模式支持。将 MongoDB Enterprise 4.2.2 版与应用程序数据库映像捆绑在一起。如果将 spec.applicationDatabase.version 设置为 "4.2.2-ent" 或省略，则无需访问互联网即可安装应用程序数据库。

• 将spec.clusterName设置重命名为spec.clusterDomain。

• 发布了 4.2.6 和 4.2.7 版本的 Ops Manager 映像。

缺陷修复

• MongoDB 资源：

  • 修复分片集群组件的创建顺序。

  • 允许在 Amazon EKS 上启用 TLS。

• Ops Manager 资源：

  • 允许 Kubernetes Operator 使用 spec.clusterDomain 设置。

请参阅示例 YAML 文件以了解新功能用法示例。

MongoDB 资源变更

• 添加对 MongoDB 副本集的水平分割 DNS 支持，允许客户端从 Kubernetes 集群外部连接到该副本集。

• 支持其他证书域请求 Kubernetes Operator 生成的证书，这使得 Kubernetes Operator 生成的证书对指定的子域有效。

Ops Manager 资源更改（Beta 版本）

• 将 MongoDBOpsManager 资源提升为 Beta 版本。发布了 Ops Manager 4.2.4 版本。

• 为 Kubernetes Operator 部署的 Ops Manager 实例中的备份和恢复提供支持。这是一个半自动化的进程，可用于部署 Ops Manager 中启用备份所需的所有配置。您可以通过在 Ops Manager 自定义资源中设置 spec.backup.enabled 来启用备份。您可以利用 MongoDBOpsManager 资源规范来配置头部数据库、Oplog 存储和 S3 快照存储。

• 支持通过 spec.externalConnectivity 设置在 Kubernetes 集群外部访问 Ops Manager。

• 默认情况下，在 Ops Manager 的应用程序数据库上启用 SCRAM-SHA-1 身份验证。

• 添加了对 OpenShift（Red Hat UBI 映像）的支持。

有关如何启用新功能的更多信息，请参阅示例 目录中的示例 YAML 文件。

缺陷修复

• 提高了 X.509 用户管理的整体稳定性。

MongoDB 资源变更

• 每个 项目需要一种MongoDB 资源。MongoDB Ops Manager如果项目中有多种 MongoDB 资源，所有资源都将变为Pending状态，并且 Kubernetes Operator 不会对它们执行任何更改。 仍可访问现有 MongoDB 数据库。 您必须迁移到每个项目一种资源。

• 支持SCRAM-SHA身份验证模式。 请参阅 MongoDBEnterprise Kubernetes OperatorGithub存储库 的示例。

• 要求从 MongoDB 资源中引用的项目 (ConfigMap) 和凭证（密钥）位于同一命名空间中。

• 添加 OpenShift 安装文件（YAML 文件和 Helm Chart 配置）。

Ops Manager 资源更改（Alpha 版本）

• 通过引入 spec.replicas 设置，支持高度可用的 Ops Manager 资源。

• 以非根用户身份运行 Pod。

规范模式更改

• 移动到“每个项目使用一种资源”的配置。 此操作遵循先前版本的 Operator中引入的警告。 Operator 现在要求每个集群都包含在一个新项目中。

• 身份验证设置现已包含在 MongoDB 资源规范的安全部分中，而非项目 ConfigMap 中。

• 用 spec.opsManager.configMapRef.name 或 spec.cloudManager.configMapRef.name 字段替换 project 字段。

• 用户资源现在指的是 MongoDB 资源，而不是项目 ConfigMap。

• 在项目 ConfigMap 中不再需要使用 data.projectName。项目名称默认为 Kubernetes 中的 MongoDB 资源名称。

Ops Manager 资源更改（Alpha 版本）

该版本对 Ops Manager 资源的架构进行了重大更改。Ops Manager 应用程序数据库现在由 Kubernetes Operator 管理，而不是由 Ops Manager 管理。

缺陷修复

• 停止不必要的 NodePort 重新创建。

• 修复了日志记录，以使其始终采用 JSON 格式。

• 在 Kubernetes Operator Docker 映像中设置 USER。

CVE 描述

MongoDB Enterprise Kubernetes Operator 生成的 X.509 证书可能允许具有 Kubernetes 集群访问权限的攻击者对 MongoDB 实例进行不适当的访问。不使用 X.509 身份验证的客户以及不使用 Kubernetes Operator 生成 X.509 证书的客户不受影响。

常见缺陷列表

CWE-295：不正确的证书验证 CVSS 分数：6.4 CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

受影响的版本

• 1.0 、 1.1

• 1.2.0 - 1.2.4

• 1.3.0 - 1.3.1

• 1.4.0 - 1.4.4

已修复版本

• 1.2.5

• 1.4.5 和更高版本

GA 版本

• 向 MongoDB Pod 添加就绪情况探测，以提高滚动升级的可靠性。

Alpha 版本

该功能是 Alpha 版本。它尚未准备好用于生产环境。

• 可以使用 Kubernetes Operator 管理 Ops Manager 4.2。要部署 |onprem| 实例，您需要使用新的资源：MongoDBOpsManager。