在自管理集群上轮换 X. 509证书

更新 TLS 集群成员资格配置

更新每个服务器的配置文件：

• 更改attributes设置以使用新证书上的值

• 将tlsClusterAuthX509Override参数设置为使用旧证书的 标识名 属性。

例如：

net:
  tls:
    mode:               requireTLS
    certificateKeyFile: /etc/mycerts/mongodb-server1.pem
    CAFile:             /etc/mycerts/ca.pem
    clusterFile:        /etc/mycerts/mongodb-cluster1.pem
    clusterCAFile:      /etc/mycerts/ca.pem
    clusterAuthX509:
       attributes:      O=MongoDB, OU=MongoDB Server
security:
  clusterAuthMode: x509
setParameter:
   tlsClusterAuthX509Override: { attributes: O=10gen, OU=10gen Server }

重新启动从节点集群成员

重新启动每个从节点集群成员：

1. 使用 mongosh连接到每个从节点集群成员，然后使用db.shutdownServer()方法停止服务器：

   use admin
   db.shutdownServer()

2. 重新启动服务器。

3. 使用rs.status()方法确定成员状态：

   rs.status().members

4. 等待该成员的stateStr字段显示值SECONDARY ，然后重新启动下一个从节点。

副本集中的从节点服务器现在接受来自使用具有新标识名属性的证书的成员的对等互连连接。

重新启动主集群成员

重新启动主节点：

1. 使用mongosh连接到主节点，然后使用rs.stepDown()方法将该成员从主节点降级：

   rs.stepDown()

   集群将使用新证书的从节点提升为新的主节点。

2. 使用db.shutdownServer()方法关闭服务器：

   use admin
   db.shutdownServer()

3. 重新启动服务器。

副本集中的主服务器降级并作为从节点重新启动，现在接受来自使用具有新 DN 属性的证书的成员的对等互连。

更新 TLS 证书

更新每个服务器的配置文件：

• 更改net.tls.certificateKeyFile设置以使用新证书。

• 更改net.tls.clusterFile设置以使用新证书。

例如：

net:
  tls:
    mode:               requireTLS
    certificateKeyFile: /etc/mycerts/mongodb-server2.pem
    CAFile:             /etc/mycerts/ca.pem
    clusterFile:        /etc/mycerts/mongodb-cluster2.pem
    clusterCAFile:      /etc/mycerts/ca.pem
    clusterAuthX509:
       attributes:      O=MongoDB, OU=MongoDB Server
security:
  clusterAuthMode: x509
setParameter:
   tlsClusterAuthX509Override: { attributes: O=10gen, OU=10gen Server }

重新启动从节点集群成员

重新启动每个从节点集群成员：

1. 使用mongosh连接到每个从节点集群成员，然后使用db.shutdownServer()方法停止服务器：

   use admin
   db.shutdownServer()

2. 重新启动服务器。

3. 使用rs.status()方法确定成员状态：

   rs.status().members

4. 等待该成员的stateStr字段显示值SECONDARY ，然后重新启动下一个从节点。

副本集中的从节点服务器现在使用新的 X.509 证书。

重新启动主集群成员

重新启动主节点：

1. 使用mongosh连接到主节点，然后使用rs.stepDown()方法将该成员从主节点降级：

   rs.stepDown()

   集群将使用新证书的从节点提升为新的主节点。

2. 使用db.shutdownServer()方法关闭服务器：

   use admin
   db.shutdownServer()

3. 重新启动服务器。

副本集中的主服务器降级并作为使用新 X.509 证书的从节点重新启动。

删除 标识名 证书覆盖配置

现在，集群的所有节点都使用新的 X.509 证书，更新配置文件以删除 参数的setParameter tlsClusterAuthX509Override设置。

例如：

net:
  tls:
    mode:               requireTLS
    certificateKeyFile: /etc/mycerts/mongodb-server1.pem
    CAFile:             /etc/mycerts/ca.pem
    clusterFile:        /etc/mycerts/mongodb-cluster1.pem
    clusterCAFile:      /etc/mycerts/ca.pem
    clusterAuthX509:
       attributes:      O=MongoDB, OU=MongoDB Server
security:
  clusterAuthMode: x509

这可确保服务器在初创企业不会配置旧证书设置。

重新启动从节点集群成员

重新启动每个从节点集群成员：

1. 使用mongosh连接到每个从节点集群成员，然后使用db.shutdownServer()方法停止服务器：

   use admin
   db.shutdownServer()

2. 重新启动服务器。

3. 使用rs.status()方法确定成员状态：

   rs.status().members

4. 等待该成员的stateStr字段显示值SECONDARY ，然后重新启动下一个从节点。

副本集中的服务器会重新启动，并不再接受来自旧 X.509 证书的连接。

重新启动主集群成员

重新启动主节点：

1. 使用mongosh连接到主节点，然后使用rs.stepDown()方法将该成员从主节点降级：

   rs.stepDown()

   集群将使用新证书的从节点提升为新的主节点。

2. 使用db.shutdownServer()方法关闭服务器：

   use admin
   db.shutdownServer()

3. 重新启动服务器。

主服务器降级并作为从节点重新启动，不再接受来自旧 X.509 证书的连接。