使用密钥文件身份验证部署自管理副本集

创建密钥文件。

通过密钥文件身份验证，副本集中的每个 mongod 实例都使用密钥文件的内容作为共享密码，对部署中的其他节点进行身份验证。只有具有正确密钥文件的 mongod 实例才能加入副本集。

密钥的长度必须介于 6 到 1,024 个字符之间，且只能包含 base64 集合中的字符。复制集的所有成员均须至少共享一个公钥。

您可以选择任何方法生成密钥文件。例如，以下操作使用 openssl 生成复杂的伪随机 1024 字符串以用作共享密码。然后，它使用 chmod 更改文件权限，仅为文件所有者提供读取权限：

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的更多详细信息和要求，请参阅密钥文件。

将密钥文件复制到每个副本集节点。

将密钥文件复制到托管副本集成员的每台服务器。确保运行 mongod 实例的用户是此文件的所有者且可访问密钥文件。

避免将密钥文件存储在可以轻松与托管 mongod 实例的硬件断开连接的存储介质上，例如 USB 驱动器或联网存储设备。

在启用访问控制的情况下启动启动副本集的每个节点。

对于副本集中的每个节点，使用 security.keyFile 配置文件设置或--keyFile 命令行选项启动 mongod。使用 --keyFile 命令行选项或 security.keyFile 配置文件设置运行 mongod，可在自管理部署中强制执行自管理内部/成员身份验证和基于角色的访问控制。

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
net:
   bindIp: localhost,<hostname(s)|ip address(es)>

使用配置文件启动 mongod：

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅配置选项。

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

通过本地主机接口连接到副本集的节点。

通过本地主机接口将 mongosh 连接到一个 mongod 实例。您必须在与 mongod 实例相同的物理机器上运行 mongosh。

只有当尚未为部署创建任何用户，本地主机接口才可用。本地主机接口会在创建第一个用户后关闭。

启动新副本集。

从 mongosh 中运行 rs.initiate() 方法。

rs.initiate() 可以接受一个可选的副本集配置文档。在复制集配置文档中，包括：

• _id 字段设置为在 replication.replSetName 或 --replSet 选项中指定的副本集名称。

• members 数组，为副本集的每个节点包含一个文档。

以下示例会启动一个三节点副本集。

rs.initiate(
  {
    _id : "myReplSet",
    members: [
      { _id : 0, host : "mongo1.example.net:27017" },
      { _id : 1, host : "mongo2.example.net:27017" },
      { _id : 2, host : "mongo3.example.net:27017" }
    ]
  }
)

rs.initiate() 触发选举，并选出一名节点担任主节点。

在继续之前连接到主节点。使用 rs.status() 查找主节点。

创建用户管理员。

使用 db.createUser() 方法添加用户。该用户应在 admin 数据库中至少拥有 userAdminAnyDatabase 角色。

您必须连接到主节点才能创建用户。

以下示例在 admin 数据库上创建具有 userAdminAnyDatabase 角色的用户 fred。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

根据提示输入密码。有关内置角色以及与数据库管理相关操作的完整列表，请参阅数据库用户角色。

以用户管理员身份进行身份验证。

对 admin 数据库进行身份验证。

在 mongosh 中，使用 db.auth() 进行身份验证。例如，以下身份验证为用户管理员 fred：

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

或者，使用 -u <username>、-p <password> 和 --authenticationDatabase 参数将新的 mongosh 实例连接到副本集主节点。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果您没有为 -p 命令行选项指定密码，mongosh 会提示输入密码。

创建集群管理员。

clusterAdmin 角色授予对复制操作的访问权限，例如配置副本集。

在 admin 数据库中创建集群管理员用户并分配 clusterAdmin 角色：

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

根据提示输入密码。

请参阅集群管理角色，获取与副本集和分片集群操作相关的内置角色的完整清单。

创建其他用户（可选）。

创建用户，允许客户端与副本集连接和交互。参阅数据库用户角色，了解创建只读和读写用户时使用的基本内置橘色。

您可能还需要其他管理用户。有关用户的更多信息，请参阅自管部署中的用户。