将自管理副本集更新为密钥文件身份验证（无停机时间）

创建用户管理员。

连接到主节点以创建具有userAdminAnyDatabase角色的用户。 userAdminAnyDatabase角色授予在部署中的任何数据库上创建用户的访问权限。

以下示例在 admin 数据库上创建具有 userAdminAnyDatabase 角色的用户 fred。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: " passwordPrompt(),     // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

完成此过程后，管理副本集中用户的任何客户端都必须以此用户或具有类似权限的用户身份进行身份验证。

有关内置角色和与数据库管理操作相关的角色的完整列表，请参阅数据库用户角色。

创建集群管理员。

连接到主节点以创建具有clusterAdmin角色的用户。 clusterAdmin角色授予对复制操作的访问权限，例如配置副本集。

以下示例在 admin 数据库上创建具有 clusterAdmin 角色的用户 ravi。

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ] 
  }
)

完成此过程后，任何管理或维护副本集的客户端都必须以此用户或具有类似权限的用户身份进行身份验证。

请参阅集群管理角色，获取与副本集操作相关的内置角色的完整清单。

为客户端应用程序创建用户。

创建用户以允许客户端应用程序与副本集连接并交互。 完成本教程后，客户端必须以已配置用户的身份进行身份验证，才能连接到副本集。

有关用于创建只读和读写用户的基本内置角色，请参阅数据库用户角色。

以下创建了一个对foo数据库具有读写权限的用户。

在foo数据库中创建具有readWrite角色的用户。

db.getSiblingDB("foo").createUser(
  {
    "user" : "joe",
    "pwd" :  passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "readWrite", "db" : "foo" } ] 
  }
)

以该用户身份进行身份验证的客户端可以对foo数据库执行读取和写入操作。 有关创建与副本集的经过身份验证的连接的更多信息，请参阅使用自管理部署对用户进行身份验证。

有关添加用户的更多信息，请参阅“添加用户”教程。 添加新用户时请考虑安全最佳实践。

更新客户端应用程序

在此点中，副本集不强制执行身份验证。但是，客户端应用程序仍可指定身份验证档案并连接到副本集。

更新客户端应用程序以使用配置的用户对副本集进行身份验证。 经过身份验证的连接需要用户名、密码和身份验证数据库。 请参阅使用自管理部署对用户进行身份验证。

例如，以下连接到设置名称为mongoRepl的副本集并以用户joe进行身份验证。

mongosh  -u joe -password  -authenticationDatabase foo --host mongoRepl/mongo1.example.net:27017, mongo2.example.net:27017, mongo3.example.net:27017

如果您没有为 -p 命令行选项指定密码，mongosh 会提示输入密码。

如果您的应用程序使用 MongoDB 驱动程序，请参阅相关的驱动程序文档以浏览创建验证连接的说明。

完成本教程后，副本集会拒绝未经身份验证的客户端连接。现在执行此步骤可确保客户端可以在过渡前后连接到副本集。

创建密钥文件。

通过密钥文件身份验证，副本集中的每个 mongod 实例都使用密钥文件的内容作为共享密码，对部署中的其他节点进行身份验证。只有具有正确密钥文件的 mongod 实例才能加入副本集。

密钥的长度必须介于 6 到 1,024 个字符之间，且只能包含 base64 集合中的字符。复制集的所有成员均须至少共享一个公钥。

您可以选择任何方法生成密钥文件。例如，以下操作使用 openssl 生成复杂的伪随机 1024 字符串以用作共享密码。然后，它使用 chmod 更改文件权限，仅为文件所有者提供读取权限：

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的更多详细信息和要求，请参阅密钥文件。

将密钥文件复制到每个副本集节点。

将密钥文件复制到托管副本集成员的每台服务器。确保运行 mongod 实例的用户是此文件的所有者且可访问密钥文件。

避免将密钥文件存储在可以轻松与托管 mongod 实例的硬件断开连接的存储介质上，例如 USB 驱动器或联网存储设备。

使用 重新启动副本集的每个从从节点(secondary nodetransitionToAuth from replica set)或仲裁节点。

重新启动副本集中的每个secondary或 仲裁节点 ，包括在配置 中 ：

• security.transitionToAuth设置。 在 设置为 的情况下启动mongod security.transitionToAuth会使实例处于过渡状态，在该状态下，它可以接受和创建经过身份验证和未经身份验证的连接。true

• 内部身份验证机制，例如security.keyFile 。

您必须一次重启一个成员，以确保副本集中的大多数成员保持在线。

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>

启动 mongod 时，指定--config选项以及配置文件的路径

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅配置选项。

或者，您可以使用等效的mongod命令行选项（例如 --transitionToAuth和--keyFile ）启动mongod时。 有关选项的完整列表，请参阅mongod参考页面。

根据您的部署包含其他设置。

在此步骤结束时，所有从节点和仲裁节点都应启动并运行，并将security.transitionToAuth设置为true 。

将副本集的主节点 (primary node in the replica set)节点降级，并使用--transitionToAuth 重新启动。

降级副本集中的主节点并重新启动该节点，包括在其配置中：

• security.transitionToAuth设置。 在 设置为 的情况下启动mongod security.transitionToAuth会使实例处于过渡状态，在该状态下，它可以接受和创建经过身份验证和未经身份验证的连接。true

• 内部身份验证机制，例如security.keyFile 。

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
  transitionToAuth: true
replication:
  replSetName: <replicaSetName>
  

使用配置文件启动mongod 。

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅配置选项。

或者，您可以使用等效的mongod命令行选项（例如 --transitionToAuth和--keyFile ）启动mongod时。 有关选项的完整列表，请参阅mongod参考页面。

根据您的部署包含其他设置。

在此步骤结束时，副本集的所有成员都应启动并运行，并将security.transitionToAuth设置为true ，并将security.keyFile设置为密钥文件路径。

在没有 的情况下重新启动从节点和仲裁节点--transitionToAuth

重新启动副本集中的每个从节点或仲裁节点，在重新启动时删除security.transitionToAuth选项。您必须逐个执行此操作，以确保副本集中的大多数成员保持在线。

如果大多数副本集成员同时离线，副本集可能会Go只读模式。

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>

使用配置文件启动 mongod：

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅配置选项。

您还可以在启动 时使用等效的mongod mongod选项。有关完整选项列表，请参阅mongod参考页面。

根据您的部署包含其他设置。

在此步骤结束时，所有从节点和仲裁节点都应启动并运行，并配置内部身份验证，但没有security.transitionToAuth 。 客户端只能使用配置的客户端身份验证机制连接到这些mongod实例。

降级并重启不带 的主节点 (primary node in the replica --transitionToAuthset)副本集成员。

将副本集中的主节点降级，然后在不使用security.transitionToAuth选项的情况下重新启动。

rs.stepDown()

admin = db.getSiblingDB("admin")
admin.shutdownServer()

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
  

使用配置文件启动 mongod：

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅配置选项。

您还可以在启动 mongod 时使用等效的mongod选项。 有关完整选项列表，请参阅mongod参考页。

根据您的部署包含其他设置。

在此步骤结束时，副本集的所有成员均应启动并运行，并强制执行身份验证。 客户端只能使用配置的客户端身份验证机制连接到这些mongod实例。