将自管理副本集转换为分片集群

从副本集中获取现有用户和角色

要获取现有用户和角色，请运行 mongodump:

mongodump -d=admin --out=adminDump -u <adminUser> -p <password> --host <replicaSetURI> --dumpDbUsersAndRoles

部署配置服务器副本集

为配置服务器部署一个三成员副本集。在此示例中，配置服务器使用以下主机：

• mongodb7.example.net

• mongodb8.example.net

• mongodb9.example.net

1. 配置配置服务器

   在每个配置服务器主机上配置一个 mongod 实例。在每个 mongod 实例的配置文件中指定以下选项：

   选项	值
   replication.replSetName	configReplSet
   sharding.clusterRole	configsvr
   net.bindIp	localhost，然后是 mongod 应在其上侦听客户端连接的任何其他主机名。

   replication:
     replSetName: configReplSet
   sharding:
     clusterRole: configsvr
   net:
     bindIp: localhost,<hostname(s)>

   根据您的部署包含其他合适的选项。

2. 启动配置服务器

   使用指定配置部署 mongod：

   mongod --config <PATH_TO_CONFIG_FILE>

   配置服务器使用默认数据目录 /data/configdb 和默认端口 27019。

3. 连接到一台配置服务器。

   使用 mongosh 连接到其中一个配置服务器。例如：

   mongosh "mongodb://mongodb7.example.net:27019"

4. 启动配置服务器副本集。

   要启动复制集，请运行 rs.initiate()：

   rs.initiate( {
      _id: "configReplSet",
      configsvr: true,
      members: [
         { _id: 0, host: "mongodb7.example.net:27019" },
         { _id: 1, host: "mongodb8.example.net:27019" },
         { _id: 2, host: "mongodb9.example.net:27019" }
      ]
   } )

   前面的命令使用本地主机例外情况来执行管理操作，而不进行身份验证。

   重要

   仅在副本集的一个 mongod 实例上运行 rs.initiate()。

将现有用户和角色恢复到新配置

恢复您在运行 mongodump 时获得的现有用户和角色。

mongorestore ./adminDump --nsInclude "admin.*" --host <configPrimaryURI>

前面的命令使用本地主机例外情况来执行管理操作，而不进行身份验证。

运行此命令的输出可能如下所示：

0 document(s) restored successfully

此消息并不表示存在问题。此输出意味着，除用户和角色之外的 0 文档已恢复。

安全配置服务器副本集

重新配置并重新启动配置服务器副本集。

1. 重新配置配置服务器

   选择身份验证机制的标签页：

   密钥文件身份验证

   x.509 身份验证

   在以下每个主机上重新启动 mongod 实例：

   • mongodb7.example.net

   • mongodb8.example.net

   • mongodb9.example.net

   在每个 mongod 实例的配置文件中指定以下选项：

   选项	值
   security.keyFile	用于初始副本集的密钥文件的路径。

   security:
      keyFile: <PATH_TO_KEYFILE>
   replication:
      replSetName: configReplSet
   sharding:
      clusterRole: configsvr
   net:
      bindIp: localhost,<hostname(s)>

   根据您的部署包含其他合适的选项。

   在以下每个主机上重新启动 mongod 实例：

   • mongodb7.example.net

   • mongodb8.example.net

   • mongodb9.example.net

   除了已配置的选项外，还可以在每个 mongod 实例的配置文件 中指定以下选项：

   选项	值
   security.clusterAuthMode	x509
   net.tls.mode	requireTLS
   net.tls.certificateKeyFile	同时包含 TLS 证书和密钥的 .pem 文件的绝对路径。
   net.tls.CAFile	包含来自证书颁发机构的根证书链的 .pem 文件的绝对路径。
   net.bindIp	localhost，然后是 mongod 应在其上侦听客户端连接的任何其他主机名。 警告：在将实例绑定到可公开访问的IP解决之前，必须保护集群免遭未经授权的访问权限。有关安全建议的完整列表，请参阅自托管部署的安全检查清单。至少应考虑启用身份验证并强化网络基础架构。

   sharding:
      clusterRole: configsvr
   replication:
      replSetName: configReplSet
   security:
      clusterAuthMode: x509
   net:
      tls:
         mode: requireTLS
         certificateKeyFile: <FILE_WITH_COMBINED_CERT_AND_KEY>
         CAFile: <CA_FILE>
      bindIp: localhost,<hostname(s)>

   根据您的部署包含其他合适的选项，例如，如果您的 TLS 证书密钥文件使用密码加密，则包含 net.tls.certificateKeyFilePassword。

2. 重启 MongoDB

   使用您指定的配置重新启动 mongod：

   mongod --config <PATH_TO_CONFIG_FILE> --shutdown
   mongod --config <PATH_TO_CONFIG_FILE>

部署 mongos

mongos 提供客户端应用程序与分片群集之间的接口。

1. 为 mongos 创建配置文件。

   密钥文件身份验证

   x.509 身份验证

   在 mongos 配置文件中指定以下选项：

   选项	值
   sharding.configDB	configReplSet，后跟斜杠 / 以及至少一个配置服务器的主机名和端口。
   security.keyFile	用于初始副本集的密钥文件的路径。
   net.bindIp	localhost，然后是 mongos 应在其上侦听客户端连接的任何其他主机名。

   sharding:
      configDB: configReplSet/mongodb7.example.net:27019,mongodb8.example.net:27019,mongodb9.example.net:27019
   security:
      keyFile: <PATH_TO_KEYFILE>
   net:
      bindIp: localhost,<hostname(s)>

   根据您的部署包含其他合适的选项。

   在 mongos 配置文件中指定以下选项：

   选项	值
   sharding.configDB	configReplSet，后跟斜杠 / 以及至少一个配置服务器的主机名和端口。
   security.clusterAuthMode	x509
   net.tls.mode	requireTLS
   net.tls.certificateKeyFile	同时包含 TLS 证书和密钥的 .pem 文件的绝对路径。
   net.tls.CAFile	包含来自证书颁发机构的根证书链的 .pem 文件的绝对路径。
   net.bindIp	localhost，然后是 mongos 应在其上侦听客户端连接的任何其他主机名。

   sharding:
      configDB: configReplSet/mongodb7.example.net:27019,mongodb8.example.net:27019,mongodb9.example.net:27019
   security:
      clusterAuthMode: x509
   net:
      tls:
         mode: requireTLS
         certificateKeyFile: <FILE_WITH_COMBINED_CERT_AND_KEY>
         CAFile: <CA_FILE>
      bindIp: localhost,<hostname(s)>

   根据您的部署包含任何其他合适的选项。

2. 部署 mongos。

   使用指定配置部署 mongos：

   mongos --config <PATH_TO_CONFIG_FILE>

将初始副本集重新启动为分片

在此示例中，初始副本集为一个三成员副本集。此步骤会更新初始副本集，以便可将其作为分片添加到分片集群中。

副本集在以下主机上运行：

• mongodb0.example.net:27017

• mongodb1.example.net:27017

• mongodb2.example.net:27017

对于分片集群，您必须将分片中每个 mongod 实例的角色设置为 shardsvr。要指定服务器角色，请在 mongod 配置文件中进行 sharding.clusterRole 设置。

1. 连接到初始副本集的某一成员。

   使用 mongosh 连接到初始副本集的一个成员。

   密钥文件身份验证

   x.509 身份验证

   mongosh "mongodb://<username>@mongodb0.example.net:27017"

   如果您的部署使用 x.509 身份验证，请指定这些 mongosh 选项：

   • --tls

   • --tlsCAFile

   • --tlsCertificateKeyFile

   例如：

   mongosh "mongodb://<username>@mongodb0.example.net:27017" --tls --tlsCAFile <CA_FILE> --tlsCertificateKeyFile <filename>

2. 确定副本集的主节点和从节点。

   运行 rs.status() 以确定主节点和从节点：

   rs.status()

   在命令输出中，replSetGetStatus.members[n].stateStr 字段表示哪一成员为主节点，哪些成员为从节点。

3. 使用 --shardsvr 选项重启这些从节点。

   警告

   对于连接到副本集从节点的应用程序，此步骤需要一些停机时间。

   重新启动从从节点(secondary node from replica set)后，连接到该从节点的所有应用程序从节点(secondary node from replica set)返回CannotVerifyAndSignLogicalTime错误，直到您执行将初始副本集添加为分片中的步骤。

   您也可重新启动应用程序，使其不再收到 CannotVerifyAndSignLogicalTime 错误。

   密钥文件身份验证

   x.509 身份验证

   1. 连接到从节点。

      使用 mongosh 连接到其中一个从节点。

      mongosh "mongodb://<username>@<host>:<port>"

   2. 关闭从节点。

      运行以下命令：

      use admin
      db.shutdownServer()

   3. 编辑从节点的配置文件。

      在从节点的配置文件中，将 sharding.clusterRole 设置为 shardsvr：

      security:
         keyFile: <PATH_TO_KEYFILE>
      replication:
        replSetName: rs0
      sharding:
         clusterRole: shardsvr
      net:
         port: 27017
         bindIp: localhost,<hostname(s)>

      根据您的部署包含其他合适的选项。

   4. 将从节点作为分片服务器重启。

      在包含从节点的主机上运行以下命令：

      mongod --config <PATH_TO_CONFIG_FILE>

   5. 对另一个从节点重复关闭和重启步骤。

   1. 连接到从节点。

      使用 mongosh 连接到其中一个从节点。

      如果您的部署使用 x.509 身份验证，请指定这些 mongosh 选项：

      • --tls

      • --tlsCAFile

      • --tlsCertificateKeyFile

      mongosh "mongodb://<username>@<host>:<port>" --tls --tlsCAFile <CA_FILE> --tlsCertificateKeyFile <filename>

   2. 关闭从节点。

      运行以下命令：

      use admin
      db.shutdownServer()

   3. 编辑从节点的配置文件。

      在从节点的配置文件中，将 sharding.clusterRole 设置为 shardsvr：

      replication:
         replSetName: rs0
      sharding:
         clusterRole: shardsvr
      security:
         clusterAuthMode: x509
      net:
         port: 27017
         tls:
            mode: requireTLS
            certificateKeyFile: <FILE_WITH_COMBINED_CERT_AND_KEY>
            CAFile: <CA_FILE>
         bindIp: localhost,<hostname(s)>

      根据您的部署包含其他合适的选项，例如，如果您的 TLS 证书密钥文件使用密码加密，则包含 net.tls.certificateKeyFilePassword。

   4. 将从节点作为分片服务器重启。

      在包含从节点的主机上运行以下命令：

      mongod --config <PATH_TO_CONFIG_FILE>

   5. 对另一个从节点重复关闭和重启步骤。

使用 选项重新启动主节点 (primary node--shardsvr in the replica set)节点。

将初始副本集添加为分片

将初始副本集 (rs0) 转换为分片后，将其添加到分片集群中。

1. 以集群的管理用户身份连接到 mongos。

   mongos 实例正在主机 mongodb6.example.net 上运行。

   密钥文件身份验证

   x.509 身份验证

   要将 mongosh 连接到 mongos，请运行以下命令：

   mongosh "mongodb://admin01@mongodb6.example.net:27017"

   如果您的部署使用 x.509 身份验证，请指定这些 mongosh 选项：

   如果您的部署使用 x.509 身份验证，请指定这些 mongosh 选项：

   • --tls

   • --tlsCAFile

   • --tlsCertificateKeyFile

   mongosh "mongodb://admin01@mongodb6.example.net:27017" --tls --tlsCAFile <CA_FILE> --tlsCertificateKeyFile <filename>

   此命令将验证您作为您在分片集群上创建的 admin01 用户的身份。输入命令后，输入用户的密码。

2. 添加分片。

   若要将分片添加到集群，请运行 sh.addShard() 方法：

   sh.addShard( "rs0/mongodb0.example.net:27017,mongodb1.example.net:27017,mongodb2.example.net:27017" )

   警告

   激活新分片后，mongosh 和其他客户端必须始终连接到 mongos 实例。请勿直接连接到 mongod 实例。如果您的客户端会直接连接到分片，则可能会造成数据或元数据不一致。

更新应用程序连接string

将第一个分片添加到集群后，将应用程序所用的连接字符串更新为分片集群的连接字符串。然后，重新启动您的应用程序。

部署第二个副本集

部署名为 rs1 的新副本集。副本集的成员 rs1 位于以下主机上：

• mongodb3.example.net

• mongodb4.example.net

• mongodb5.example.net

1. 启动副本集的每个成员。

   密钥文件身份验证

   x.509 身份验证

   对于副本集中的每个 mongod 实例，创建一个包含以下选项的配置文件：

   选项	值
   security.keyFile	用于初始副本集的密钥文件的路径。
   replication.replSetName	rs1
   sharding.clusterRole	shardsvr
   net.bindIp	localhost，然后是 mongod 应在其上侦听客户端连接的任何其他主机名。

   security:
      keyFile: <PATH_TO_KEYFILE>
   replication:
      replSetName: rs1
   sharding:
      clusterRole: shardsvr
   net:
      bindIp: localhost,<hostname(s)>

   根据您的部署包含其他合适的选项。

   为每个节点启动一个 mongod 实例，设置如下：

   选项	值
   replication.replSetName	rs1
   sharding.clusterRole	shardsvr
   security.clusterAuthMode	x509
   net.tls.mode	requireTLS
   net.tls.certificateKeyFile	同时包含 TLS 证书和密钥的 .pem 文件的绝对路径。
   net.tls.CAFile	包含来自证书颁发机构的根证书链的 .pem 文件的绝对路径。
   net.bindIp	localhost，然后是 mongod 应在其上侦听客户端连接的任何其他主机名。

   replication:
      replSetName: rs1
   sharding:
      clusterRole: shardsvr
   security:
      clusterAuthMode: x509
   net:
      tls:
         mode: requireTLS
         certificateKeyFile: <FILE_WITH_COMBINED_CERT_AND_KEY>
         CAFile: <CA_FILE>
      bindIp: localhost,<hostname(s)>

   使用指定配置部署 mongod：

   mongod --config <PATH_TO_CONFIG_FILE>

   注意

   当您为 mongod 实例指定了 --shardsvr 选项，该实例将默认在端口 27018 上运行。

2. 启动副本集的每个成员。

3. 连接到某一副本集成员。

   使用 mongosh 连接到副本集成员之一。例如：

   密钥文件身份验证

   x.509 身份验证

   mongosh "mongodb://mongodb3.example.net:27018"

   mongosh "mongodb://mongodb3.example.net:27018" --tls --tlsCAFile <CA_FILE> --tlsCertificateKeyFile <filename>

4. 启动新副本集。

   在 mongosh 中，运行 rs.initiate() 方法以启动包含当前成员的副本集：

   rs.initiate( {
      _id : "rs1",
      members: [
          { _id: 0, host: "mongodb3.example.net:27018" },
          { _id: 1, host: "mongodb4.example.net:27018" },
          { _id: 2, host: "mongodb5.example.net:27018" }
      ]
   } )

   前面的命令需要本地主机异常才能在不进行身份验证的情况下执行管理操作。

   重要

   仅在副本集的一个 mongod 实例上运行 rs.initiate()。

5. 为此副本集添加管理用户。

   部署副本集后，使用本地主机异常创建副本集的第一个用户。

   1. 确定副本集主节点。

      要确定主节点，请运行 rs.status()：

      rs.status()

      在命令输出中，replSetGetStatus.members[n].stateStr 字段会表明哪一成员为主节点。

   2. 连接到副本集主节点。

      使用 mongosh 连接到副本集主节点。例如，如果主节点为 mongodb4.example.net，则运行以下命令：

      密钥文件身份验证

      mongosh "mongodb://mongodb4.example.net:27018"

   3. 创建管理用户。

      运行以下 db.createUser() 方法，创建名为 rs1Admin 的用户，并具有 userAdmin 角色：

      use admin
      db.createUser(
         {
            user: "rs1Admin",
            pwd: passwordPrompt(),
            roles: [
               { role: "userAdmin", db: "admin" }
            ]
         }
      )

      运行该命令后，数据库会提示您为 rs1Admin 用户输入密码。

将第二个副本集作为分片添加到集群

将新副本集 rs1 添加到分片集群。

1. 将 mongosh 连接到 mongos。

   从命令行运行以下命令以连接到主机 mongodb6.example.net 上所运行的 mongos 实例：

   密钥文件身份验证

   x.509 身份验证

   mongosh "mongodb://admin01@mongodb6.example.net:27017/admin"

   mongosh "mongodb://admin01@mongodb6.example.net:27017/admin" --tls --tlsCAFile <CA_FILE> --tlsCertificateKeyFile <filename>

   此命令将验证您作为您在分片集群上创建的 admin01 用户的身份。输入命令后，输入用户的密码。

2. 添加第二个分片。

   连接到 mongos 后，使用 sh.addShard() 方法将副本集 rs1 作为分片添加到集群中：

   sh.addShard( "rs1/mongodb3.example.net:27018,mongodb4.example.net:27018,mongodb5.example.net:27018" )

将集合分片

该过程的最后一步是对分片集群中的集合进行分片。

1. 确定分片键。

   确定集合的分片键。分片键指示 MongoDB 如何在分片之间分配文档。好的分片键：

   • 在所有文档中具有均匀分布的值。

   • 将经常同时访问的文档分组为连续数据段。

   • 允许在各分片之间有效分配活动。

   有关更多信息，请参阅选择分片键。

   此过程将 number 字段用作 test_collection 集合的分片键。

2. 为分片的键创建索引。

   在对非空集合进行分片之前，请对此分片键创建索引：

   use test
   db.test_collection.createIndex( { "number" : 1 } )

3. 对集合进行分片。

   在 test 数据库中，对 test_collection 进行分片。将 number 指定为分片键。

   sh.shardCollection( "test.test_collection", { "number" : 1 } )

   下次运行负载均衡器时，它会在各分片之间重新分配文档数据段。当客户端向此集合插入更多文档时，mongos 会将这些文档路由到相应的分片。

   负载均衡器重新分发数据块时，可能会对应用程序的性能产生负面影响。为最大限度降低对性能的影响，您可以指定何时运行负载均衡器，以免其在高峰时段运行。要了解详情，请参阅安排负载均衡窗口。