将自管理分片集群更新为密钥文件身份验证（无停机）

创建管理员用户。

使用db.createUser()方法创建管理员用户并为其分配以下角色：

• clusterAdmin admin数据库上的

• 数据库上的userAdmin 角色admin

在完成本教程后，对分片集群执行维护操作或用户管理操作的客户端必须以此用户身份进行身份验证。 立即创建此用户，确保您在实施身份验证后可以访问集群。

admin = db.getSiblingDB("admin");
admin.createUser(
  {
    user: "admin",
    pwd: "<password>",
    roles: [
      { role: "clusterAdmin", db: "admin" },
      { role: "userAdmin", db: "admin" }
    ]
  }
);

可选：为客户端应用程序创建其他用户。

除管理员用户外，您还可以在执行身份验证之前创建其他用户。 这样可以确保在您完全实施身份验证后可以访问分片集群。

db.getSiblingDB("marketing").createUser(
  {
    "user": "joe",
    "pwd": "<password>",
    "roles": [ { "role" : "readWrite", "db" : "marketing" } ]
  }
)

有关 MongoDB 提供的角色，请参阅数据库用户角色。

有关添加用户的更多信息，请参阅“添加用户”教程。 添加新用户时请考虑安全最佳实践。

可选：更新客户端应用程序以指定身份验证档案。

虽然分片集群当前不强制执行身份验证，但您仍可更新客户端应用程序，以在连接到分片集群时指定身份验证档案。 这可以防止在完成本教程时失去连接。

mongosh  --username "joe" --password "<password>" \
  --authenticationDatabase "marketing" --host mongos1.example.net:27017

创建新的mongos 配置文件。

对于每个mongos ：

1. 复制现有的mongos配置文件，并为其指定一个不同的名称，例如<filename>-secure.conf （如果使用 Windows，则为.cfg ）。 您将使用这个新的配置文件来转换mongos ，以在分片集群中强制执行身份验证。 保留原始配置文件以备备份。

2. 在新配置文件中，添加以下设置：

   • security.transitionToAuth 设置为 true

   • security.keyFile 设置为密钥文件路径。

     如果使用不同的内部身份验证机制，请指定适合该机制的设置。

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

   新的配置文件应包含mongos之前使用的所有配置设置以及新的安全设置。

mongos使用新的配置文件，一次重启一个 。

按照以下步骤重新启动mongos实例，一次启动一个mongos ：

1. 连接到mongos以关闭。

2. 对admin数据库使用db.shutdownServer()方法，安全关闭mongos 。

   db.getSiblingDB("admin").shutdownServer()

3. 使用新的配置文件重新启动mongos ，同时使用--config指定配置文件的路径。 例如，如果新配置文件名为mongos-secure.conf ：

   mongos --config <path>/mongos-secure.conf

   其中<path>表示包含新配置文件的文件夹的系统路径。

对下一个mongos实例重复重启过程，直到分片集群中的所有mongos实例都已重启。

创建新的mongod 配置文件。

对于配置服务器副本集中的每个mongod ，

1. 复制现有的mongod配置文件，并为其指定一个不同的名称，例如<filename>-secure.conf （如果使用 Windows，则为.cfg ）。 您将使用这个新的配置文件来转换mongod ，以在分片集群中强制执行身份验证。 保留原始配置文件以备备份。

2. 在新配置文件中，添加以下设置：

   • security.transitionToAuth 设置为 true

   • security.keyFile 设置为密钥文件路径。

     如果使用不同的内部身份验证机制，请指定适合该机制的设置。

   security:
      transitionToAuth: true
      keyFile: <path-to-keyfile>

mongod使用新的配置文件，一次重启一个 。

从副本集开始，一次重启一个副本集。

1. 要一次重启一个从节点，

   1. 连接到mongod并对admin数据库使用db.shutdownServer()方法，安全关闭mongod 。

      db.getSiblingDB("admin").shutdownServer()

   2. 使用新的配置文件重新启动mongod ，并使用--config指定配置文件的路径。 例如，如果新配置文件名为mongod-secure.conf ：

      mongod --config <path>/mongod-secure.conf

      其中<path>表示包含新配置文件的文件夹的系统路径。

   该节点启动后，对下一个从节点重复上述步骤。

2. 所有从节点重新启动并启动后，重新启动主节点：

   1. 连接到mongod 。

   2. 使用rs.stepDown()方法降级主节点并trigger选举。

      rs.stepDown()

      您可以使用rs.status()方法确保副本集已选择新的主节点。

   3. 一旦您降级主节点并选举了新的主节点，请对admin数据库使用db.shutdownServer()方法关闭旧的主节点。

      db.getSiblingDB("admin").shutdownServer()

   4. 使用新的配置文件重新启动mongod ，并使用--config指定配置文件的路径。 例如，如果新配置文件名为mongod-secure.conf ：

      mongod --config <path>/mongod-secure.conf

      其中<path>表示包含新配置文件的文件夹的系统路径。

从 配置文件中删除transitionToAuthmongos 。

从本教程中创建的security.transitionToAuth mongos配置文件中删除 键及其值。保留教程中添加的security.keyFile设置。

security:
   keyFile: <path-to-keyfile>

mongos使用更新的配置文件重新启动 。

按照以下步骤重新启动mongos实例，一次启动一个mongos ：

1. 连接到mongos以关闭。

2. 对admin数据库使用db.shutdownServer()方法，安全关闭mongos 。

   db.getSiblingDB("admin").shutdownServer()

3. 使用更新的配置文件重新启动mongos ，并使用--config指定配置文件的路径。 例如，如果更新的文件名为mongos-secure.conf ：

   mongos --config <path>/mongos-secure.conf

从 配置文件中删除transitionToAuthmongod 。

从本教程中创建的配置服务器配置文件中删除security.transitionToAuth键及其值。 保留教程中添加的security.keyFile设置。

security:
   keyFile: <path-to-keyfile>

使用更新的配置文件，一次一个地重新启动mongod 。

从副本集开始，一次重启一个副本集。

1. 要一次重启一个从节点，

   1. 连接到mongod并对admin数据库使用db.shutdownServer()方法，安全关闭mongod 。

      db.getSiblingDB("admin").shutdownServer()

   2. Restart the mongod with the updated configuration file, specifying the path to the config file using --config. 例如，如果新配置文件名为mongod-secure.conf ：

      mongod --config <path>/mongod-secure.conf

      其中<path>表示包含已更新配置文件的文件夹的系统路径。

   该节点启动后，对下一个从节点重复上述步骤。

2. 所有从节点重新启动并启动后，重新启动主节点：

   1. 连接到mongod 。

   2. 使用rs.stepDown()方法降级主节点并trigger选举。

      rs.stepDown()

      您可以使用rs.status()方法确保副本集已选择新的主节点。

   3. 一旦您降级主节点并选举了新的主节点，请对admin数据库使用db.shutdownServer()方法关闭旧的主节点。

      db.getSiblingDB("admin").shutdownServer()

   4. Restart the mongod with the updated configuration file, specifying the path to the config file using --config. 例如，如果新配置文件名为mongod-secure.conf ：

      mongod --config <path>/mongod-secure.conf

      其中<path>表示包含已更新配置文件的文件夹的系统路径。

从 配置文件中删除transitionToAuthmongod 。

从本教程中创建的配置服务器配置文件中删除security.transitionToAuth键及其值。 保留教程中添加的security.keyFile设置。

security:
   keyFile: <path-to-keyfile>

使用更新的配置文件，一次一个地重新启动mongod 。

从副本集开始，一次重启一个副本集。

1. 要一次重启一个从节点，

   1. 连接到mongod并对admin数据库使用db.shutdownServer()方法，安全关闭mongod 。

      db.getSiblingDB("admin").shutdownServer()

   2. Restart the mongod with the updated configuration file, specifying the path to the config file using --config. 例如，如果新配置文件名为mongod-secure.conf ：

      mongod --config <path>/mongod-secure.conf

      其中<path>表示包含已更新配置文件的文件夹的系统路径。

   该节点启动后，对下一个从节点重复上述步骤。

2. 所有从节点重新启动并启动后，重新启动主节点：

   1. 连接到mongod 。

   2. 使用rs.stepDown()方法降级主节点并trigger选举。

      rs.stepDown()

      您可以使用rs.status()方法确保副本集已选择新的主节点。

   3. 一旦您降级主节点并选举了新的主节点，请对admin数据库使用db.shutdownServer()方法关闭旧的主节点。

      db.getSiblingDB("admin").shutdownServer()

   4. Restart the mongod with the updated configuration file, specifying the path to the config file using --config. 例如，如果新配置文件名为mongod-secure.conf ：

      mongod --config <path>/mongod-secure.conf

      其中<path>表示包含已更新配置文件的文件夹的系统路径。