自管理的配置文件选项
在此页面上
下一页介绍了 MongoDB 6.0 中可用的配置选项。 有关其他版本 MongoDB 的配置文件选项,请参阅相应版本的 MongoDB 手册。
注意
如果使用 MongoDB Atlas 来管理云中的 MongoDB 部署,则无需创建配置文件。要了解如何为 MongoDB Atlas 部署配置设置,请参阅 配置其他设置。
除了使用配置文件选项之外,MongoDB 二进制文件的默认配置还使用操作系统环境变量。
配置文件
您可以使用配置文件在启动时配置 mongod
和 mongos
实例。配置文件包含等效于 mongod
和 mongos
命令行选项的设置。请参阅自管理配置文件设置和命令行选项映射。
使用配置文件可以更轻松地管理 mongod
和 mongos
选项,尤其是在大规模部署时。您还可以在配置文件中添加注释以解释服务器的设置。
如果使用软件包管理器(例如 Linux 上的
yum
或apt
,或 macOS 上的brew
)安装 MongoDB,或者使用 Windows 上的 MSI 安装程序安装 MongoDB,则安装过程中会提供默认配置文件:平台方法配置文件Linuxapt
,yum
或zypper
包管理器/etc/mongod.conf
macOSbrew
包管理器:/usr/local/etc/mongod.conf
(在英特尔处理器上),或/opt/homebrew/etc/mongod.conf
(在 Apple Silicon 处理器上)WindowsMSI 安装程序<install directory>\bin\mongod.cfg
如果通过下载的
TGZ
或ZIP
文件安装 MongoDB,则必须创建自己的配置文件。可以从基本示例配置入手。
文件格式
以下示例配置文件包含多个 mongod
设置,您可以根据本地配置进行调整:
注意
YAML 不支持缩进制表符:请改用空格。
systemLog: destination: file path: "/var/log/mongodb/mongod.log" logAppend: true storage: journal: enabled: true processManagement: fork: true net: bindIp: 127.0.0.1 port: 27017 setParameter: enableLocalhostAuthBypass: false ...
官方 MongoDB 包中包含的 Linux 包初始化脚本依赖于 systemLog.path
、storage.dbPath
和 processManagement.fork
的特定值。如果修改了默认配置文件中的这些设置,mongod
可能无法启动。
[1] | YAML 是 JSON 的超集。 |
外部来源的值
以下扩展指令可用:
扩展指令 | 说明 |
---|---|
有关完整文档,请参阅适用于自管理部署的外部来源配置文件值。
使用配置文件
如要使用配置文件来配置 mongod
或 mongos
,请使用 --config
选项或 -f
选项指定配置文件,如以下示例所示:
例如,下面使用 mongod --config
<configuration file>
mongos --config
<configuration file>
:
mongod --config /etc/mongod.conf mongos --config /etc/mongos.conf
您也可以使用 -f
别名来指定配置文件,如下所示:
mongod -f /etc/mongod.conf mongos -f /etc/mongos.conf
如果您从程序包安装并使用系统的初始化脚本启动了 MongoDB,那么您已经在使用配置文件了。
扩展指令和 --configExpand
如果在配置文件中使用扩展指令,则在启动 mongod
或 mongos
时必须包含 --configExpand
选项。例如:
mongod --config /etc/mongod.conf --configExpand "rest,exec" mongos --config /etc/mongos.conf --configExpand "rest,exec"
如果配置文件包含扩展指令,而您在启动 mongod
/ mongos
时没有在 --configExpand
选项中指定该指令,则 mongod
/ mongos
将无法启动。
有关完整文档,请参阅适用于自管理部署的外部来源配置文件值。
核心选项
systemLog
选项
systemLog: verbosity: <int> quiet: <boolean> traceAllExceptions: <boolean> syslogFacility: <string> path: <string> logAppend: <boolean> logRotate: <string> destination: <string> timeStampFormat: <string> component: accessControl: verbosity: <int> command: verbosity: <int> # COMMENT additional component verbosity settings omitted for brevity
systemLog.verbosity
类型:整型
默认值:0
组件的默认日志消息详细级别。详细级别决定 MongoDB 输出的信息和调试消息的数量。[2]
详细程度级别的范围可以从
0
到5
:要对命名组件使用不同的详细级别,请使用该组件的详细级别设置。例如,使用
systemLog.component.accessControl.verbosity
为ACCESS
组件设置具体的详细级别。有关特定组件的详细级别设置,请参阅
systemLog.component.<name>.verbosity
设置。有关设置日志详细级别的各种方法,请参阅配置日志详细级别。
[2] 从版本 4.2 开始,MongoDB 在日志消息中包含调试详细级别(1 至 5 级)。例如,如果详细级别为 2,则 MongoDB 记录 D2
。在以前版本中,MongoDB 日志消息仅为调试级别指定D
。
systemLog.quiet
类型:布尔值
默认:false
在尝试限制输出量的安静模式下运行
mongos
或mongod
。systemLog.quiet
不建议在生产系统中使用,因为它可能会使特定连接期间的追踪问题变得更加困难。
systemLog.syslogFacility
类型:字符串
默认:用户
将消息记录到系统日志时使用的设施级别。您指定的值必须受操作系统的系统日志实现支持。要使用此选项,必须将
systemLog.destination
设置为syslog
。
systemLog.path
类型:字符串
mongod
或mongos
应将所有诊断日志信息发送到的日志文件路径,而不是标准输出或主机的 syslog。MongoDB 会在指定路径创建日志文件。Linux 包初始化脚本并不希望
systemLog.path
更改默认值。如果使用 Linux 包并更改systemLog.path
,则必须使用自己的初始化脚本并禁用内置脚本。
systemLog.logAppend
类型:布尔值
默认:false
如果为
true
,则当实例重新启动时,mongos
或mongod
会在现有日志文件的末尾附加新条目。如果没有此选项,mongod
或mongos
将备份现有日志并创建新文件。
systemLog.logRotate
类型:字符串
默认:重命名
确定轮换服务器日志和/或审核日志时
logRotate
命令的行为。指定rename
或reopen
:rename
对日志文件进行重命名。reopen
按照典型的 Linux/Unix 日志轮换行为关闭并重新打开日志文件。使用 Linux/Unix logrotate 实用程序时使用reopen
避免日志丢失。如果指定
reopen
,还必须将systemLog.logAppend
设置为true
。
systemLog.destination
类型:字符串
MongoDB 发送所有日志输出的目标。指定
file
或syslog
。如果指定file
,则必须同时指定systemLog.path
。如果不指定
systemLog.destination
,MongoDB 会将所有日志输出按标准输出发送。警告
syslog
守护进程在记录消息时生成时间戳,而不是在 MongoDB 发出消息时生成时间戳。这可能会导致日志条目的时间戳产生误导,尤其是当系统负载较重时。我们建议对生产系统使用file
选项,以确保时间戳的准确性。
systemLog.timeStampFormat
类型:字符串
Default: iso8601-local
日志消息中时间戳的时间格式。指定以下值之一:
值说明iso8601-utc
以 ISO-8601 格式显示协调通用时间 (UTC) 的时间戳。例如,对于纪元开始时的纽约:1970-01-01T00:00:00.000Z
iso8601-local
以 ISO-8601 格式显示当地时间的时间戳。例如,对于纪元开始时的纽约:1969-12-31T19:00:00.000-05:00
注意
systemLog.timeStampFormat
不再支持ctime
。ctime
格式日期的示例为:Wed Dec 31 18:17:54.811
。
systemLog.component
选项
systemLog: component: accessControl: verbosity: <int> command: verbosity: <int> # COMMENT some component verbosity settings omitted for brevity replication: verbosity: <int> election: verbosity: <int> heartbeats: verbosity: <int> initialSync: verbosity: <int> rollback: verbosity: <int> storage: verbosity: <int> journal: verbosity: <int> recovery: verbosity: <int> write: verbosity: <int>
注意
从版本 4.2 开始,MongoDB 在日志消息中包含调试详细级别(1 至 5 级)。例如,如果详细级别为 2,则 MongoDB 记录 D2
。在以前版本中,MongoDB 日志消息仅为调试级别指定 D
。
systemLog.component.accessControl.verbosity
类型:整型
默认值:0
访问控制相关组件的日志信息详细级别。请参阅
ACCESS
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.command.verbosity
类型:整型
默认值:0
与命令相关的组件的日志消息详细级别。请参阅
COMMAND
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.control.verbosity
类型:整型
默认值:0
与控制操作相关的组件的日志消息详细级别。请参阅
CONTROL
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.ftdc.verbosity
类型:整型
默认值:0
与诊断数据集合操作相关的组件的日志消息详细级别。请参阅
FTDC
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.geo.verbosity
类型:整型
默认值:0
与地理空间分析操作相关的组件的日志消息详细级别。请参阅
GEO
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.index.verbosity
类型:整型
默认值:0
与索引操作相关的组件的日志消息详细级别。请参阅
INDEX
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.network.verbosity
类型:整型
默认值:0
与网络操作相关的组件的日志消息详细级别。请参阅
NETWORK
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.query.verbosity
类型:整型
默认值:0
与查询操作相关的组件的日志消息详细级别。请参阅
QUERY
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.queryStats.verbosity
类型:整型
默认值:0
与
$queryStats
调用相关组件的日志消息详细级别。请参阅QUERYSTATS
组件。详细程度级别的范围可以从
0
到5
:0
是默认的日志详细程度级别,仅包括信息性消息。在此级别上不记录$queryStats
调用。1
到2
会增加详细级别,以包含algorithm
为"hmac-sha-256"
的$queryStats
调用。所有 HMAC 密钥均已被隐藏。3
到5
会增加详细级别,以包括$queryStats
个调用,其中algorithm
是"hmac-sha-256"
,以及相应的结果。每个结果都有自己的条目,最后一个条目带有字符串"we finished"
。
systemLog.component.replication.verbosity
类型:整型
默认值:0
复制相关组件的日志信息详细级别。请参阅
REPL
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.replication.election.verbosity
类型:整型
默认值:0
与选举相关组件的日志信息详细级别。请参阅
ELECTION
组件。如果未设置
systemLog.component.replication.election.verbosity
,则systemLog.component.replication.verbosity
级别也适用于选举组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.replication.heartbeats.verbosity
类型:整型
默认值:0
与心跳相关组件的日志消息详细级别。请参阅
REPL_HB
组件。如果未设置
systemLog.component.replication.heartbeats.verbosity
,则systemLog.component.replication.verbosity
级别也适用于心跳组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.replication.initialSync.verbosity
类型:整型
默认值:0
与 InitialSync 相关的组件的日志消息详细级别。请参阅
INITSYNC
组件。如果未设置
systemLog.component.replication.initialSync.verbosity
,则systemLog.component.replication.verbosity
级别也适用于 initialSync 组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.replication.rollback.verbosity
类型:整型
默认值:0
与回滚相关的组件的日志消息详细程度。请参阅
ROLLBACK
组件。如果未设置
systemLog.component.replication.rollback.verbosity
,则systemLog.component.replication.verbosity
级别也适用于回滚组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.sharding.verbosity
类型:整型
默认值:0
分片相关组件的日志信息详细级别。请参阅
SHARDING
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.verbosity
类型:整型
默认值:0
与存储相关的组件的日志消息详细级别。请参阅
STORAGE
组件。如果未设置
systemLog.component.storage.journal.verbosity
,则systemLog.component.storage.verbosity
级别也适用于日志组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.journal.verbosity
类型:整型
默认值:0
与日志相关的组件的日志消息详细级别。请参阅
JOURNAL
组件。如果未设置
systemLog.component.storage.journal.verbosity
,则日志组件具有与父级存储组件相同的详细级别:具体来说,如果已设置,则为systemLog.component.storage.verbosity
级别,否则为默认的详细级别。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.recovery.verbosity
类型:整型
默认值:0
与恢复相关的组件的日志消息详细级别。请参阅
RECOVERY
组件。如果未设置
systemLog.component.storage.recovery.verbosity
,则systemLog.component.storage.verbosity
级别也适用于恢复组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎相关的组件的日志消息详细级别。请参阅
WT
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtBackup.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的备份操作相关的组件的日志消息详细级别。请参阅
WTBACKUP
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtCheckpoint.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的检查点操作相关的组件的日志消息详细级别。请参阅
WTCHKPT
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtCompact.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的压实操作相关的组件的日志消息详细级别。请参阅
WTCMPCT
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtEviction.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的逐出操作相关的组件的日志消息详细级别。请参阅
WTEVICT
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtHS.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的历史记录存储操作相关的组件的日志消息详细级别。请参阅
WTHS
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtRecovery.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的恢复操作相关的组件的日志消息详细级别。请参阅
WTRECOV
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtRTS.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的回滚到稳定 (RTS) 操作相关组件的日志消息详细级别。请参阅
WTRTS
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtSalvage.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的数据打捞 (salvage) 操作相关的组件的日志消息详细级别。请参阅
WTSLVG
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtTimestamp.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
WiredTiger 存储引擎使用的时间戳相关组件的日志消息详细级别。请参阅
WTTS
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtTransaction.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
WiredTiger 存储引擎执行的事务操作相关组件的日志消息详细级别。请参阅
WTTXN
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtVerify.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的验证操作相关的组件的日志消息详细级别。请参阅
WTVRFY
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.storage.wt.wtWriteLog.verbosity
类型:整型
默认:-1
5.3 版本中的新增功能。
与 WiredTiger 存储引擎执行的日志写入操作相关的组件的日志消息详细级别。请参阅
WTWRTLOG
组件。详细程度级别的范围可以从
0
到5
:
systemLog.component.transaction.verbosity
类型:整型
默认值:0
与事务相关组件的日志信息详细级别。请参阅
TXN
组件。详细程度级别的范围可以从
0
到5
:
processManagement
选项
processManagement: fork: <boolean> pidFilePath: <string> timeZoneInfo: <string>
processManagement.fork
类型:布尔值
默认:false
启用守护进程模式,在该模式下,
mongos
或mongod
进程会在后台运行。默认情况下,mongos
或mongod
不作为守护进程运行。要将mongos
或mongod
作为守护进程使用,请设置processManagement.fork
或使用处理守护进程的控制进程(例如systemd
)。processManagement.fork
选项在 Windows 上不受支持。Linux 包初始化脚本并不希望
processManagement.fork
更改默认值。如果使用 Linux 包并更改processManagement.fork
,则必须使用自己的初始化脚本并禁用内置脚本。
processManagement.pidFilePath
类型:字符串
指定存储
mongos
或mongod
进程的进程 ID (PID) 的文件位置。运行mongod
或mongos
进程的用户必须能够写入此路径。如果未指定processManagement.pidFilePath
选项,进程不会创建 PID 文件。此选项通常仅在与processManagement.fork
设置结合使用时才有作用。注意
Linux
在 Linux 上,PID 文件管理通常由发行版的初始化系统负责:一般是
/etc/init.d
目录中的服务文件,或者是使用systemctl
注册的 systemd 单元文件。仅当您未使用这些初始化系统时,才使用processManagement.pidFilePath
选项。有关更多信息,请参阅操作系统的相关安装指南。注意
macOS
在 macOS 上,PID 文件管理通常由
brew
处理。 仅当您未在 macOS 系统上使用brew
时才使用processManagement.pidFilePath
选项。 有关更多信息,请参阅适用于您的操作系统的相应安装指南。
processManagement.timeZoneInfo
类型:字符串
加载时区数据库的完整路径。如果未提供此选项,则 MongoDB 将使用内置的时区数据库。
Linux 和 macOS 软件包中包含的配置文件默认将时区数据库设置为
/usr/share/zoneinfo
。内置时区数据库是 OLSON/IANA 时区数据库的副本。它随着 MongoDB 的发布而更新,但时区数据库的发布周期与 MongoDB 的发布周期不同。时区数据库的最新版本可在我们的下载网站上找到。
警告
MongoDB 使用第三方 timelib 库提供时区之间的准确转换。由于最近的更新,
timelib
可能会在旧版本的 MongoDB 中创建不准确的时区转换。要在 5.0 之前的 MongoDB 版本中显式链接到时区数据库,请下载时区数据库。并使用
timeZoneInfo
参数。
net
选项
在版本 5.0 中进行了更改:MongoDB 删除了 net.serviceExecutor
配置选项和相应的 --serviceExecutor
命令行选项。
net: port: <int> bindIp: <string> bindIpAll: <boolean> maxIncomingConnections: <int> wireObjectCheck: <boolean> ipv6: <boolean> unixDomainSocket: enabled: <boolean> pathPrefix: <string> filePermissions: <int> tls: certificateSelector: <string> clusterCertificateSelector: <string> mode: <string> certificateKeyFile: <string> certificateKeyFilePassword: <string> clusterFile: <string> clusterPassword: <string> CAFile: <string> clusterCAFile: <string> CRLFile: <string> allowConnectionsWithoutCertificates: <boolean> allowInvalidCertificates: <boolean> allowInvalidHostnames: <boolean> disabledProtocols: <string> FIPSMode: <boolean> logVersions: <string> compression: compressors: <string>
net.port
类型:整型
默认值:
27018 如果
mongod
是shard member
27019 如果
mongod
是config server member
MongoDB 实例监听客户端连接的 TCP 端口。
net.bindIp
类型:字符串
默认值:localhost
mongos
或mongod
应监听客户端连接的主机名和/或 IP 地址和/或完整 Unix 域套接字路径。可以将mongos
或mongod
连接到任何接口。要绑定到多个地址,请输入逗号分隔值的列表。例子
localhost,/tmp/mongod.sock
您可以指定 IPv4 和 IPv6 解决方案,或解析为 IPv4 或 IPv6 地址的主机名。
例子
localhost, 2001:0DB8:e132:ba26:0d5c:2774:e7f9:d513
注意
如果将 IPv6 地址或解析为 IPv6 地址的主机名指定为
net.bindIp
,则必须使用net.ipv6 : true
启动mongos
或mongod
才能启用 IPv6 支持。将 IPv6 地址指定为net.bindIp
不会启用 IPv6 支持。如果指定链接本地 IPv6 地址 (
fe80::/10
),则必须将区域索引附加到该地址上(即fe80::<address>%<adapter-name>
)。例子
localhost,fe80::a00:27ff:fee0:1fcf%enp0s3
重要
要避免因 IP 地址变更而更新配置,请使用 DNS 主机名而非 IP 地址。在配置副本集成员或分片集群成员时,使用 DNS 主机名而非 IP 地址尤为重要。
在水平分割网络配置下,请使用主机名而非 IP 地址来配置集群。从 MongoDB 5.0 开始,仅配置了 IP 地址的节点将无法通过启动验证,因而不会启动。
警告
在绑定到非本地主机(例如 可公开访问的) IP解决,确保已保护集群免遭未经授权的访问权限。 有关安全建议的完整列表,请参阅自托管部署的安全检查清单。 至少应考虑启用身份验证并强化网络基础架构。
有关 IP 绑定的更多信息,请参阅自托管部署中的 IP 绑定文档。
要绑定到所有 IPv4 地址,请输入
0.0.0.0
。如要绑定到所有 IPv4 和 IPv6 地址,请输入
::,0.0.0.0
或星号"*"
(将星号括在引号中以便与 YAML 别名节点区分)。或者,您可以使用net.bindIpAll
设置。注意
net.bindIp
和net.bindIpAll
是互斥的。也就是说,您可以指定其中之一,但不能同时指定两者。命令行选项
--bind_ip
覆盖配置文件设置net.bindIp
。
要为水平分割 DNS 配置集群节点,使用主机名称,而非 IP 地址。
从 MongoDB v5.0 开始,
replSetInitiate
和replSetReconfig
拒绝使用 IP 地址而不是主机名的配置。使用
disableSplitHorizonIPCheck
修改无法更新为使用主机名的节点。该参数仅适用于配置命令。mongod
和mongos
在启动时不依赖disableSplitHorizonIPCheck
进行验证。使用 IP 地址而不是主机名的旧版mongod
和mongos
实例可以在升级后启动。配置 IP 地址的实例会记录警告,要求使用主机名称而非 IP 地址。
net.bindIpAll
类型:布尔值
默认:false
如果为 true,则
mongos
或mongod
实例将绑定到所有 IPv4 地址(即0.0.0.0
)。如果mongos
或mongod
以net.ipv6 : true
开头,net.bindIpAll
也会绑定到所有 IPv6 地址(即::
)。mongos
或mongod
仅支持以net.ipv6 : true
开头的 IPv6。仅指定net.bindIpAll
并不能启用 IPv6 支持。警告
在绑定到非本地主机(例如 可公开访问的) IP解决,确保已保护集群免遭未经授权的访问权限。 有关安全建议的完整列表,请参阅自托管部署的安全检查清单。 至少应考虑启用身份验证并强化网络基础架构。
有关 IP 绑定的更多信息,请参阅自托管部署中的 IP 绑定文档。
或者,将
net.bindIp
设置为::,0.0.0.0
,或设置为星号"*"
(将星号括在引号中以区别于 YAML 别名节点)以绑定到所有 IP 地址。注意
net.bindIp
和net.bindIpAll
是互斥的。同时指定这两个选项会导致mongos
或mongod
抛出错误并终止。
net.maxIncomingConnections
类型:整型
Default (Windows): 1,000,000Default (Linux): (RLIMIT_NOFILE) * 0.8mongos
或mongod
接受的最大并行连接数。如果该设置高于操作系统配置的最大连接跟踪阈值,则该设置无效。不要为此选项分配过低的值,否则您可能会在正常的应用程序操作期间遇到错误。
如果您的客户端创建了多个连接,并且允许这些连接超时而不是将其关闭,那么这对于
mongos
特别有用。在此情况下,请将
maxIncomingConnections
的值设为略高于客户端创建的最大连接数或连接池的最大大小。
net.wireObjectCheck
类型:布尔值
默认值:true
当为
true
时,mongod
或mongos
实例会在收到客户端请求时验证所有请求,防止客户端将格式不正确或无效的 BSON 插入 MongoDB 数据库。对于子文档嵌套程度较高的对象,
net.wireObjectCheck
对性能的影响很小。
net.ipv6
类型:布尔值
默认:false
将
net.ipv6
设置为true
以启用 IPv6 支持。mongos
/mongod
默认禁用 IPv6 支持。设置
net.ipv6
不会指示mongos
/mongod
监听任何本地 IPv6 地址或接口。要将mongos
/mongod
配置为监听 IPv6 接口,您必须:使用一个或多个 IPv6 地址或解析为 IPv6 地址的主机名配置
net.bindIp
,或将
net.bindIpAll
设为true
。
net.unixDomainSocket
选项
net: unixDomainSocket: enabled: <boolean> pathPrefix: <string> filePermissions: <int>
net.unixDomainSocket.enabled
类型:布尔值
默认值:true
启用或禁用 UNIX 域套接字上的侦听。
net.unixDomainSocket.enabled
仅适用于基于 Unix 的系统。当
net.unixDomainSocket.enabled
为true
时,mongos
或mongod
侦听 UNIX 套接字。mongos
或mongod
进程始终侦听 UNIX 套接字,除非满足以下条件之一:net.unixDomainSocket.enabled
isfalse
--nounixsocket
已设置。命令行选项优先于配置文件设置。net.bindIp
未设置net.bindIp
未指定localhost
或其关联的 IP 地址
mongos
或mongod
通过官方 .deb 和 .rpm 包安装)默认将bind_ip
配置设置为127.0.0.1
。
net.unixDomainSocket.pathPrefix
类型:字符串
默认:/tmp
UNIX 套接字的路径。
net.unixDomainSocket.pathPrefix
仅适用于基于 Unix 的系统。如果此选项没有值,则
mongos
或mongod
进程会创建一个以/tmp
为前缀的套接字。MongoDB 创建并侦听 UNIX 套接字,除非满足以下条件之一:net.unixDomainSocket.enabled
isfalse
--nounixsocket
已设置net.bindIp
未设置net.bindIp
未指定localhost
或其关联的 IP 地址
net.unixDomainSocket.filePermissions
类型:int
默认值:
0700
设置 UNIX 域套接字文件的权限。
net.unixDomainSocket.filePermissions
仅适用于基于 Unix 的系统。
net.tls
选项
注意
tls
选项提供与之前的 ssl
选项相同的功能。
net: tls: mode: <string> certificateKeyFile: <string> certificateKeyFilePassword: <string> certificateSelector: <string> clusterCertificateSelector: <string> clusterFile: <string> clusterPassword: <string> CAFile: <string> clusterCAFile: <string> CRLFile: <string> allowConnectionsWithoutCertificates: <boolean> allowInvalidCertificates: <boolean> allowInvalidHostnames: <boolean> disabledProtocols: <string> FIPSMode: <boolean> logVersions: <string>
net.tls.mode
类型:字符串
对所有网络连接启用 TLS 模式。
net.tls.mode
设置的参数可以是以下之一:值说明disabled
该服务器不使用 TLS。allowTLS
服务器之间的连接不使用 TLS。对于传入连接,服务器既接受 TLS,也接受非 TLS。preferTLS
服务器之间的连接使用 TLS。对于传入连接,服务器既接受 TLS,也接受 TLS。requireTLS
服务器仅使用并接受 TLS 加密连接。如果未指定
--tlsCAFile
或tls.CAFile
且您未使用 x.509 身份验证,则必须将tlsUseSystemCA
参数设置为true
。这使得 MongoDB 在连接到启用 TLS 的服务器时使用系统范围的 CA 证书存储。如果使用 x.509 身份验证,则必须指定
--tlsCAFile
或tls.CAFile
,除非使用--tlsCertificateSelector
。有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.certificateKeyFile
类型:字符串
包含 TLS 证书和密钥的
.pem
文件。在 macOS 或 Windows 上,可以使用
net.tls.certificateSelector
设置指定来自操作系统的安全证书存储区的证书,而不是 PEM 密钥文件。certificateKeyFile
和net.tls.certificateSelector
是互斥的。您只能指定一个。在 Linux/BSD 上,当启用 TLS 时,您必须指定
net.tls.certificateKeyFile
。在 Windows 或 macOS 上,当启用 TLS 时,您必须指定
net.tls.certificateKeyFile
或net.tls.certificateSelector
。重要
仅适用于 Windows,MongoDB 不支持加密的 PEM 文件。如果遇到加密的 PEM 文件,则
mongod
无法启动。要在 Windows 上安全地存储和访问用于 TLS 的证书,请使用net.tls.certificateSelector
。
有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.certificateKeyFilePassword
类型:字符串
用于解密证书密钥文件的密码(即
certificateKeyFile
)。仅当证书密钥文件已加密时才能使用net.tls.certificateKeyFilePassword
选项。在所有情况下,mongos
或mongod
都会对所有日志记录和报告输出中的密码进行脱敏。在 Linux/BSD 上,如果 PEM 文件中的私钥已加密且您未指定
net.tls.certificateKeyFilePassword
选项,则 MongoDB 会提示您输入密码。有关更多信息,请参阅 TLS/SSL 证书密码。
在 macOS 上,如果 PEM 文件中的私钥已加密,则必须明确指定
net.tls.certificateKeyFilePassword
选项。或者,您可以使用安全系统存储中的证书(请参阅net.tls.certificateSelector
)而不是 PEM 密钥文件,或者使用未加密的 PEM 文件。在 Windows 上,MongoDB 不支持加密证书。如果
mongod
遇到加密的 PEM 文件,则会失败。请改用net.tls.certificateSelector
。有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.certificateSelector
类型:字符串
指定证书属性,以便从操作系统的证书存储区中选择匹配的证书来用于 TLS/SSL。可在 Windows 和 macOS 上用作
net.tls.certificateKeyFile
. 的替代方案。net.tls.certificateKeyFile
和net.tls.certificateSelector
选项是互斥的。您只能指定一个。net.tls.certificateSelector
接受格式为<property>=<value>
的参数,其中属性可以是以下之一:属性值类型说明subject
ASCII 字符串证书上的主题名称或公用名thumbprint
十六进制字符串以十六进制表示的字节序列,用于通过 SHA-1 摘要识别公钥。
thumbprint
有时称为fingerprint
。在使用系统 SSL 证书存储区时,会用 OCSP(在线证书状态协议)来验证证书的吊销状态。
mongod
搜索操作系统的安全证书存储区,查找验证指定 TLS 证书的完整证书链所需的 CA 证书。具体来说,安全证书存储区必须包含根 CA 以及构建 TLS 证书的完整证书链所需的任何中间 CA 证书。警告
如果您使用
net.tls.certificateSelector
和/或net.tls.clusterCertificateSelector
,我们不建议使用net.tls.CAFile
或net.tls.clusterFile
来指定根 CA 证书和中间 CA 证书例如,如果 TLS 证书是使用单个根 CA 证书签署的,则安全证书存储区必须包含相应的根 CA 证书。如果 TLS 证书是使用中间 CA 证书签署的,则安全证书存储区必须包含相应的中间 CA 证书和 根 CA 证书。
注意
针对以下情况无法使用
rotateCertificates
命令行或db.rotateCertificates()
shell 方法:将net.tls.certificateSelector
或--tlsCertificateSelector
集合用于thumbprint
时
net.tls.clusterCertificateSelector
类型:字符串
指定证书属性,以便从操作系统的证书存储区中选择匹配的证书以用于内部 x.509 成员身份验证。
可在 Windows 和 macOS 上用作
net.tls.clusterFile
的替代方案。net.tls.clusterFile
和net.tls.clusterCertificateSelector
选项是互斥的。您只能指定一个。net.tls.clusterCertificateSelector
接受格式为<property>=<value>
的参数,其中属性可以是以下之一:属性值类型说明subject
ASCII 字符串证书上的主题名称或公用名thumbprint
十六进制字符串以十六进制表示的字节序列,用于通过 SHA-1 摘要识别公钥。
thumbprint
有时称为fingerprint
。mongod
搜索操作系统的安全证书存储区,查找验证指定集群证书的完整证书链所需的 CA 证书。具体来说,安全证书存储区必须包含根 CA 以及构建集群证书的完整证书链所需的任何中间 CA 证书。警告
如果您使用
net.tls.certificateSelector
和/或net.tls.clusterCertificateSelector
,我们不建议使用net.tls.CAFile
或net.tls.clusterCAFile
来指定根和中间 CA 证书。例如,如果集群证书是使用单个根 CA 证书签署的,则安全证书存储区必须包含该根 CA 证书。如果集群证书是使用中间 CA 证书签署的,则安全证书存储区必须包含中间 CA 证书和根 CA 证书。
如果显示的 x.509 证书在
mongod/mongos
主机系统时间后的30
天内过期,则mongod
/mongos
会在连接时记录警告。
net.tls.clusterFile
类型:字符串
.pem
文件,其中包含用于集群或副本集的成员身份验证的 x.509 证书密钥文件。在 macOS 或 Windows 上,可以使用
net.tls.clusterCertificateSelector
选项指定来自操作系统的安全证书存储区的证书,而不是 PEM 密钥文件。net.tls.clusterFile
和net.tls.clusterCertificateSelector
选项是互斥的。您只能指定一个。如果
net.tls.clusterFile
没有为内部集群身份验证指定.pem
文件,或者未指定备选net.tls.clusterCertificateSelector
,则集群使用在certificateKeyFile
设置中指定的.pem
文件,或使用由net.tls.certificateSelector
返回的证书。如果使用 x.509 身份验证,则必须指定
--tlsCAFile
或tls.CAFile
,除非使用--tlsCertificateSelector
。如果显示的 x.509 证书在
mongod/mongos
主机系统时间后的30
天内过期,则mongod
/mongos
会在连接时记录警告。有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。重要
仅适用于 Windows,MongoDB 不支持加密的 PEM 文件。如果遇到加密的 PEM 文件,则
mongod
无法启动。要安全地存储和访问用于 Windows 成员身份验证的证书,请使用net.tls.clusterCertificateSelector
。
net.tls.clusterPassword
类型:字符串
用于解密 x.509 证书密钥文件(由
--sslClusterFile
指定)的密码。仅当证书密钥文件已加密时才能使用net.tls.clusterPassword
选项。任何情况下,mongos
或mongod
都会对所有日志和报告输出中的密码进行脱敏。在 Linux/BSD 上,如果 x.509 文件中的私钥已加密且未指定
net.tls.clusterPassword
选项,MongoDB 则会提示输入密码。有关更多信息,请参阅 TLS/SSL 证书密码。
在 macOS 上,如果 x.509 文件中的私钥已加密,则必须明确指定
net.tls.clusterPassword
选项。另外,也可以使用安全系统存储区中的证书(请参阅net.tls.clusterCertificateSelector
)而不是集群 PEM 文件,或者使用未加密的 PEM 文件。在 Windows 上,MongoDB 不支持加密证书。如果
mongod
遇到加密的 PEM 文件,则会失败。使用net.tls.clusterCertificateSelector
。有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.CAFile
类型:字符串
.pem
文件,其中包含来自证书颁发机构的根证书链。使用相对或绝对路径指定.pem
文件的文件名。- 仅限 Windows/macOS
- 如果使用
net.tls.certificateSelector
和/或net.tls.clusterCertificateSelector
,请勿使用net.tls.CAFile
来指定根和中间 CA 证书。将验证net.tls.certificateSelector
和/或net.tls.clusterCertificateSelector
证书的完整信任链所需的所有 CA 证书存储在安全证书存储区中。
有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.clusterCAFile
类型:字符串
包含来自证书授权机构的根证书链的
.pem
文件,用于验证建立连接的客户端提供的证书。使用相对或绝对路径指定.pem
文件的文件名。net.tls.clusterCAFile
要求设置net.tls.CAFile
。如果
net.tls.clusterCAFile
未指定.pem
文件来验证建立连接的客户端的证书,集群就会使用net.tls.CAFile
选项中指定的.pem
文件。net.tls.clusterCAFile
允许您使用单独的证书颁发机构来验证 TLS 握手的客户端到服务器和服务器到客户端部分。从 4.0 版本开始,在 macOS 或 Windows 上,您可以使用操作系统安全存储服务中的证书而不是 PEM 密钥文件。请参阅
net.tls.clusterCertificateSelector
。使用安全存储区时,您不需要但也可以指定net.tls.clusterCAFile
。- 仅限 Windows/macOS
- 如果使用
net.tls.certificateSelector
和/或net.tls.clusterCertificateSelector
,请勿使用net.tls.clusterCAFile
来指定根和中间 CA 证书。将验证net.tls.certificateSelector
和/或net.tls.clusterCertificateSelector
证书的完整信任链所需的所有 CA 证书存储在安全证书存储区中。
有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.CRLFile
类型:字符串
包含证书吊销列表的
.pem
文件。使用相对或绝对路径指定.pem
文件的文件名。注意
在 macOS 上不能指定
net.tls.CRLFile
。但您可以使用系统 SSL 证书存储区,该存储区使用 OCSP(在线证书状态协议)来验证证书的吊销状态。如要使用系统 SSL 证书存储区,请参阅net.tls.certificateSelector
。为了检查证书吊销状况,MongoDB 默认
enables
OCSP(在线证书状态协议)作为指定 CRL 文件或使用系统 SSL 证书存储区的替代方法。
有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.allowConnectionsWithoutCertificates
类型:布尔值
默认:false
如果为
false
,则所有客户端都必须提供客户端TLS 证书。如果true
,则客户端不需要提供客户端证书,但mongod
或mongos
会对 TLS/SSL 连接进行加密。如果客户端提供客户端证书,则无论您为
net.tls.allowConnectionsWithoutCertificates
设定什么值,mongos
或mongod
都会使用CAFile
指定的根证书链或系统 CA 存储执行证书验证(如果tlsUseSystemCA
为true
),并拒绝证书无效的客户端。如果您的混合部署包含不向或无法向
mongos
或mongod
选项提供证书的客户端,请使用net.tls.allowConnectionsWithoutCertificates
。有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
net.tls.allowInvalidCertificates
类型:布尔值
默认:false
启用或禁用集群中其他服务器上的 TLS 证书的验证检查,并允许使用无效证书进行连接。
注意
如果您在使用 x.509 身份验证时指定
--tlsAllowInvalidCertificates
或tls.allowInvalidCertificates: true
,则无效证书仅足以建立 TLS 连接,但不足以进行身份验证。使用
net.tls.allowInvalidCertificates
设置时,MongoDB 会记录有关使用无效证书的警告。有关 TLS 和 MongoDB 的更多信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及自管理内部/成员身份验证。
net.tls.allowInvalidHostnames
类型:布尔值
默认:false
当
net.tls.allowInvalidHostnames
为true
时,MongoDB 禁用 TLS 证书中的主机名验证。这样,即使证书的主机名与指定的主机名不匹配,mongod
或mongos
也能连接集群中的其他 MongoDB 实例。有关 TLS 和 MongoDB 的更多信息,请参阅为 TLS/SSL 配置
mongod
和mongos
。
net.tls.disabledProtocols
类型:字符串
防止使用 TLS 运行的 MongoDB Server 接受使用特定协议的传入连接。要指定多个协议,请使用逗号分隔的协议列表,但不要在逗号后使用空格。如果在协议名称前包含空格,服务器会将其解释为无法识别的协议并且不会启动。
net.tls.disabledProtocols
可识别以下协议:TLS1_0
、TLS1_1
、TLS1_2
和TLS1_3
。在 macOS 上,您无法在禁用
TLS1_1
的情况下,让TLS1_0
和TLS1_2
同时启用。您必须至少禁用后两者中的一个,比如TLS1_0,TLS1_1
。若要列出多个协议,请指定为逗号分隔的协议列表,逗号后不带空格。例如
TLS1_0,TLS1_1
。指定无法识别的协议或在逗号后包含空格,将会阻止服务器启动。
指定的禁用协议将覆盖任何默认禁用的协议。
如果 TLS 1.1+ 在系统上可用,MongoDB 将禁用 TLS 1.0。如要启用 TLS 1.0,请指定
none
到net.tls.disabledProtocols
。副本集和分片集群的成员必须至少使用一个共同协议。
net.tls.FIPSMode
类型:布尔值
默认:false
在
mongos
或mongod
中启用或禁用 TLS 库的 FIPS 模式。您的系统必须有符合 FIPS 标准的库,才能使用net.tls.FIPSMode
选项。注意
只有 MongoDB Enterprise 支持与 FIPS 兼容的 TLS/SSL。有关更多信息,请参阅为 FIPS 配置 MongoDB 。
net.tls.logVersions
类型:字符串
指示
mongos
或mongod
在客户端使用指定 TLS 版本进行连接时记录消息。指定单个 TLS 版本或以逗号分隔的多个 TLS 版本的列表。
例子
如要指示
mongos
或mongod
在客户端使用 TLS 1.2 或 TLS 1.3 进行连接时记录消息,请将net.tls.logVersions
设置为"TLS1_2,TLS1_3"
。
net.compression
选项
net: compression: compressors: <string>
net.compression.compressors
Default: snappy,zstd,zlib
指定默认压缩程序用于此
mongod
或mongos
实例与以下对象之间的通信:部署的其他成员(如果实例是副本集或分片集群的一部分)
支持
OP_COMPRESSED
消息格式的驱动程序。
MongoDB 支持以下压缩程序:
要禁用网络压缩,请将值设置为
disabled
。重要
当双方都启用网络压缩时,消息就会被压缩。否则,各方之间的消息不会被压缩。
如果指定多个压缩程序,则列出压缩程序的顺序与通信发起者都很重要。例如,如果
mongosh
指定以下网络压缩程序zlib,snappy
且mongod
指定snappy,zlib
,则在mongosh
和mongod
之间的消息使用zlib
。如果各方未分享至少一个通用压缩程序,则各方之间的消息将不会被压缩。例如,如果
mongosh
指定网络压缩程序zlib
且mongod
指定snappy
,则mongosh
与mongod
之间的消息将不会被压缩。
security
选项
security: keyFile: <string> clusterAuthMode: <string> authorization: <string> transitionToAuth: <boolean> javascriptEnabled: <boolean> redactClientLogData: <boolean> clusterIpSourceAllowlist: - <string> sasl: hostName: <string> serviceName: <string> saslauthdSocketPath: <string> enableEncryption: <boolean> encryptionCipherMode: <string> encryptionKeyFile: <string> kmip: keyIdentifier: <string> rotateMasterKey: <boolean> serverName: <string> port: <string> clientCertificateFile: <string> clientCertificatePassword: <string> clientCertificateSelector: <string> serverCAFile: <string> connectRetries: <int> connectTimeoutMS: <int> ldap: servers: <string> bind: method: <string> saslMechanisms: <string> queryUser: <string> queryPassword: <string | array> useOSDefaults: <boolean> transportSecurity: <string> timeoutMS: <int> userToDNMapping: <string> authz: queryTemplate: <string> validateLDAPServerConfig: <boolean>
security.keyFile
类型:字符串
密钥文件的路径,该文件存储 MongoDB 实例用于在分片集群或副本集中相互验证的共享密钥。
keyFile
意味着security.authorization
。有关更多信息,请参阅内部/会员身份验证。用于内部成员身份验证的密钥文件使用 YAML 格式,允许在密钥文件中包含多个密钥。YAML 格式接受以下任一形式:
单个密钥字符串(与早期版本相同)
键字符串序列
YAML 格式与使用文本文件格式的现有单密钥文件兼容。
security.clusterAuthMode
类型:字符串
默认:keyFile
集群身份验证时使用的身份验证方式。如果使用内部 x.509 身份验证,请在此处指定。此选项可为以下值之一:
值说明keyFile
使用密钥文件进行身份验证。仅接受密钥文件。sendKeyFile
用于滚动升级目的。发送密钥文件进行 身份验证,但可以接受密钥文件和 x.509 证书。sendX509
用于滚动升级目的。发送 x.509 证书进行身份验证,但可以同时接受密钥文件和 x.509 证书。x509
推荐。发送 x.509 证书进行身份验证,仅接受 x.509 证书。如果未指定
--tlsCAFile
或tls.CAFile
且您未使用 x.509 身份验证,则必须将tlsUseSystemCA
参数设置为true
。这使得 MongoDB 在连接到启用 TLS 的服务器时使用系统范围的 CA 证书存储。如果使用 x.509 身份验证,则必须指定
--tlsCAFile
或tls.CAFile
,除非使用--tlsCertificateSelector
。有关 TLS 和 MongoDB 的详细信息,请参阅为 TLS/SSL 配置
mongod
和mongos
以及客户端的 TLS/SSL 配置。
security.authorization
类型:字符串
默认值:已禁用
启用或禁用基于角色的访问控制(RBAC)以管理每个用户对数据库资源和操作的访问。
将此选项设为以下之一:
值说明enabled
用户只能访问已获得授权的数据库资源和操作。disabled
用户可以访问任何数据库并执行任何操作。有关更多信息,请参阅自管理部署中的基于角色的访问控制。
security.authorization
设置仅适用于mongod
。
security.transitionToAuth
类型:布尔值
默认:false
允许
mongod
或mongos
接受和创建与部署中的其他mongod
和mongos
实例之间的经过身份验证和未经身份验证的连接。用于执行副本集或分片集群从无身份验证配置到内部身份验证的滚动过渡。需要指定内部身份验证机制,如security.keyFile
。例如,如果使用密钥文件进行内部身份验证,则
mongod
或mongos
使用匹配的密钥文件与部署中的任何mongod
或mongos
创建经过身份验证的连接。如果安全机制不匹配,则mongod
或mongos
将使用非验证连接。运行
mongod
或mongos
时,如果指定security.transitionToAuth
,则不会强制实施用户访问控制。用户无需任何访问控制检查即可连接到您的部署并执行读取、写入和管理操作。
security.javascriptEnabled
类型:布尔值
默认值:true
启用或禁用服务器端 JavaScript 执行。禁用后,您便无法使用可在服务器端执行 JavaScript 代码的操作,如
$where
查询运算符、mapReduce
命令、$accumulator
和$function
。如果不使用这些操作,请禁用服务器端脚本。
security.javascriptEnabled
可用于mongod
和mongos
。在早期版本中,该设置仅适用于mongod
。
security.redactClientLogData
类型:布尔值
仅在 MongoDB Enterprise 中可用。
运行
mongod
或mongos
时,如果指定security.redactClientLogData
,则会在记录前编辑与给定日志事件相关的所有消息。这可以防止mongod
或mongos
将数据库中存储的潜在敏感数据写入诊断日志。错误或操作代码、行号和源文件名等元数据在日志中仍然可见。将
security.redactClientLogData
与静态加密和 TLS/SSL(传输加密)结合使用,以帮助符合监管要求。例如,MongoDB 部署可能会将个人身份信息 (PII) 存储在一个或多个集合中。
mongod
或mongos
将记录与 CRUD 操作、分片元数据等相关的事件。mongod
或mongos
有可能会将 PII 作为这些日志记录操作的一部分公开。使用security.redactClientLogData
运行的mongod
或mongos
将删除与这些事件相关的所有消息,然后再输出到日志,有效清除 PII。由于缺乏与日志事件相关的数据,对使用
security.redactClientLogData
运行的mongod
或mongos
进行诊断可能会更加困难。有关security.redactClientLogData
对日志输出影响的示例,请参阅 进程日志记录手册页面。在运行中的
mongod
或mongos
上,使用带有redactClientLogData
参数的setParameter
来配置此设置。
security.clusterIpSourceAllowlist
类型:列表
版本 5.0 中的新增功能。
在 5.2 版本中进行了更改。
IP 地址/CIDR(无类别域间路由)范围列表,
mongod
验证来自副本集其他成员的身份验证请求。如果属于分片集群的一部分,则验证mongos
实例。mongod
验证源 IP 是否明确位于列表中或属于列表中的 CIDR 范围。如果 IP 地址不存在,则服务器不会对mongod
或mongos
进行身份验证。security.clusterIpSourceAllowlist
对未经身份验证启动的mongod
没有影响。从 MongoDB 5.2 开始,可以在正在运行的
mongod
或mongos
上使用setParameter
来配置security.clusterIpSourceAllowlist
。此示例在运行时更新
security.clusterIpSourceAllowlist
,以包括 IP 地址"1.1.1.1/24"
、"2.2.2.2/16"
和"3.3.3.3"
。db.adminCommand( { setParameter: 1, "clusterIpSourceAllowlist": ["1.1.1.1/24", "2.2.2.2/16", "3.3.3.3"] } ); 此示例在运行时更新
security.clusterIpSourceAllowlist
以排除所有 IP 地址:db.adminCommand( { setParameter: 1, "clusterIpSourceAllowlist": null } ); security.clusterIpSourceAllowlist
对未经身份验证启动的mongod
没有影响。security.clusterIpSourceAllowlist
需要将每个 IPv4/6 地址或无类别域间路由 (CIDR)范围指定为 YAML 列表:security: clusterIpSourceAllowlist: - 192.0.2.0/24 - 127.0.0.1 - ::1 重要
确保
security.clusterIpSourceAllowlist
包含 IP 地址或 CIDR 范围,其中包含部署中每个副本集成员或mongos
的 IP 地址,以确保集群组件之间的正常通信。
security.clusterIpSourceWhitelist
类型:列表
在 5.0 版本中弃用:请改用
security.clusterIpSourceAllowlist
。IP 地址/CIDR(无类别域间路由)范围列表,
mongod
验证来自副本集其他成员的身份验证请求。如果属于分片集群的一部分,则验证mongos
实例。mongod
验证源 IP 明确在列表中或属于列表中的 CIDR 范围。如果 IP 地址不存在,则服务器不会对mongod
或mongos
进行身份验证。security.clusterIpSourceWhitelist
对未经身份验证启动的mongod
没有影响。security.clusterIpSourceWhitelist
要求将每个 IPv4 /6 地址或无类域间路由 (CIDR) 范围指定为 YAML 列表:security: clusterIpSourceWhitelist: - 192.0.2.0/24 - 127.0.0.1 - ::1 重要
确保
security.clusterIpSourceWhitelist
包含 IP 地址或 CIDR 范围,其中包括部署中每个副本集节点或mongos
的 IP 地址,以确保集群组件之间的正常通信。
密钥管理配置选项
security: enableEncryption: <boolean> encryptionCipherMode: <string> encryptionKeyFile: <string> kmip: keyIdentifier: <string> rotateMasterKey: <boolean> serverName: <string> port: <string> clientCertificateFile: <string> clientCertificatePassword: <string> clientCertificateSelector: <string> serverCAFile: <string> connectRetries: <int> connectTimeoutMS: <int> activateKeys: <boolean> keyStatePollingSeconds: <int>
security.enableEncryption
类型:布尔值
默认:false
对 WiredTiger 存储引擎启用加密。必须设置为
true
,才能传递加密密钥和配置。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.encryptionCipherMode
类型:字符串
默认值:
AES256-CBC
用于静态加密的密码模式:
模式说明AES256-CBC
采用密码分组链接模式的 256 位高级加密标准AES256-GCM
采用 Galois/Counter 模式的 256 位高级加密标准
仅在 Linux 上可用。
Windows 上的 MongoDB Enterprise 不再支持将
AES256-GCM
作为静态加密的分组密码算法。仅 Linux 版本支持此用法。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.encryptionKeyFile
类型:字符串
通过 KMIP 以外的进程管理密钥时,本地密钥文件的路径。仅在通过 KMIP 以外的进程管理密钥时设置。如果已使用 KMIP 加密数据,则 MongoDB 会抛出错误。
要求
security.enableEncryption
为true
。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.keyIdentifier
类型:字符串
KMIP 服务器中现有密钥的唯一 KMIP 标识符。包括该设置可将与该标识符关联的密钥作为系统密钥。只能在第一次为
mongod
实例启用加密时使用该设置。要求security.enableEncryption
为 True。如果未指定,MongoDB 会请求 KMIP 服务器创建新密钥用作系统密钥。
如果 KMIP 服务器找不到指定标识符的密钥或者数据已使用密钥加密,则 MongoDB 将报告错误。
注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.rotateMasterKey
类型:布尔值
默认:false
如果为 true,则轮换主密钥并对内部密钥库重新加密。
注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.serverName
类型:字符串
要连接的 KMIP 服务器的主机名或 IP 地址。要求
security.enableEncryption
为 true。您可以将多个 KMIP 服务器指定为逗号分隔的列表,例如
server1.example.com,server2.example.com
。启动时,mongod
会尝试按列出的顺序与每台服务器建立连接,并选择可以成功建立连接的第一台服务器。KMIP 服务器选择仅在启动时进行。mongod
启动时验证与 KMIP 服务器的连接。--kmipServerName
中指定的服务器名称必须与 KMIP 服务器出示的证书上的主题备用名称SAN
或公用名CN
相匹配。SAN
可以是系统名称或 IP 地址。如果存在
SAN
,则mongod
不会尝试与CN
配对。如果 KMIP 服务器的主机名或 IP 地址与
SAN
和CN
都不匹配,则mongod
不会启动。从 MongoDB 4.2 开始,在比较 SAN 时,MongoDB 可以比较 DNS 名称或 IP 地址。在之前的版本中,MongoDB 仅能比较 DNS 名称。
注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.port
类型:字符串
默认:5696
用于与 KMIP 服务器通信的端口号。需要
security.kmip.serverName
。要求security.enableEncryption
为 True。如果使用
security.kmip.serverName
指定多个 KMIP 服务器,则mongod
将对所有提供的 KMIP 服务器使用通过security.kmip.port
指定的端口。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.clientCertificateFile
类型:字符串
用于在 KMIP 服务器上对 MongoDB 进行身份验证的
.pem
文件的路径。指定的.pem
文件必须包含 TLS/SSL 证书和密钥。如要使用此设置,还必须指定
security.kmip.serverName
设置。注意
从 4.0 版本开始,在 macOS 或 Windows 上,您可以使用操作系统安全存储服务中的证书而不是 PEM 密钥文件。请参阅
security.kmip.clientCertificateSelector
。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.clientCertificatePassword
类型:字符串
用来解密客户端证书的密码(即
security.kmip.clientCertificateFile
),用于在 KMIP 服务器上对 MongoDB 进行身份验证。仅在证书加密时使用该选项。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.clientCertificateSelector
类型:字符串
5.0 版本中的新增功能:可在 Windows 和 macOS 上作为
security.kmip.clientCertificateFile
的替代方案。security.kmip.clientCertificateFile
和security.kmip.clientCertificateSelector
选项是互斥的。您只能指定一个。指定证书属性,以便从操作系统的证书存储区中选择匹配的证书来在 KMIP 服务器上对 MongoDB 进行身份验证。
security.kmip.clientCertificateSelector
接受格式为<property>=<value>
的参数,其中属性可以是以下之一:属性值类型说明subject
ASCII 字符串证书上的主题名称或公用名thumbprint
十六进制字符串以十六进制表示的字节序列,用于通过 SHA-1 摘要识别公钥。
thumbprint
有时称为fingerprint
。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.serverCAFile
类型:字符串
CA 文件的路径。用于验证客户端与 KMIP 服务器的连接是否安全。
注意
从 4.0 版本开始,在 macOS 或 Windows 上,您可以使用操作系统安全存储服务中的证书而不是 PEM 密钥文件。请参阅
security.kmip.clientCertificateSelector
。使用安全存储区时,您不需要但也可以指定security.kmip.serverCAFile
。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.connectRetries
类型:int
默认值:0
与 KMIP 服务器初次连接时的重试次数。与
connectTimeoutMS
一起使用可控制mongod
在两次重试之间等待响应的时间。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.connectTimeoutMS
类型:int
默认值:5000
等待 KMIP 服务器响应的超时时间(以毫秒为单位)。如果指定了
connectRetries
设置,则每次重试时,mongod
将等待,直到达到使用connectTimeoutMS
指定的值。取值不得小于
1000
。注意
Enterprise 版功能
仅在 MongoDB Enterprise 中可用。
security.kmip.activateKeys
类型:布尔值
默认值:true
5.3 版本中的新增功能。
在 KMIP 密钥创建后激活所有这些新创建的密钥,然后定期检查这些密钥是否处于活动状态。
如果
security.kmip.activateKeys
为true
并且在 KMIP 服务器上已有密钥时,必须首先激活该密钥,否则,mongod
节点会无法启动。如果 mongod 使用的密钥转换为非活动状态,则
mongod
节点将关闭,除非kmipActivateKeys
为 false。为确保您拥有有效的密钥,请使用security.kmip.rotateMasterKey
轮换 KMIP 主密钥。
security.kmip.keyStatePollingSeconds
类型:int
默认:900 秒
5.3 版本中的新增功能。
mongod 轮询 KMIP 服务器以获取有效密钥的频率(以秒为单位)。
要禁用轮询,请将值设置为
-1
。
security.kmip.useLegacyProtocol
类型:布尔值
默认:false
版本 6.0.6 中的新增内容。
设置为
true
时,mongod
使用 KMIP 协议的 1.0 或 1.1 版,而不是默认版本。KMIP 协议的默认版本是 1.2。要在 KMIP 1.0 或 1.1 版中使用审核日志加密,必须在启动时指定
auditEncryptKeyWithKMIPGet
。要使用 KMIP 协议 1.0 或 1.1 版本,请替换您的本地值并将如下条目添加到您的
mongod
配置文件中:security: enableEncryption: true kmip: serverName: "mdbhost.somecompany.com" serverCAFile: "security/libs/trusted-ca.pem" clientCertificateFile: "security/libs/trusted-client.pem" useLegacyProtocol: true
security.sasl
选项
security: sasl: hostName: <string> serviceName: <string> saslauthdSocketPath: <string>
security.sasl.serviceName
类型:字符串
使用 SASL 的服务的注册名称。通过此选项,您可以按实例替换 Kerberos 主体名称的默认 Kerberos 服务名称组件。如未指定,则使用默认值
mongodb
。MongoDB 仅允许在启动时设置此选项。
setParameter
无法更改此设置。此选项仅在 MongoDB Enterprise 中可用。
重要
确保驱动程序支持备用服务名称。关于
mongosh
和其他连接到新serviceName
的 MongoDB 工具,请参阅gssapiServiceName
选项。
security.ldap
选项
security: ldap: servers: <string> bind: method: <string> saslMechanisms: <string> queryUser: <string> queryPassword: <string | array> useOSDefaults: <boolean> transportSecurity: <string> timeoutMS: <int> userToDNMapping: <string> authz: queryTemplate: <string> validateLDAPServerConfig: <boolean>
security.ldap.servers
类型:字符串
仅在 MongoDB Enterprise 中可用。
特定 LDAP 服务器,
mongod
或mongos
在该服务器上对用户进行身份验证或决定授权用户可对给定数据库执行哪些操作。如果指定的 LDAP 服务器有任何复制的实例,则可以在逗号分隔的列表中指定每个复制的服务器的主机和端口。如果您的 LDAP 基础架构将 LDAP 目录分区到多个 LDAP 服务器,请将一个LDAP 服务器或其任何复制实例指定为
security.ldap.servers
。 MongoDB 支持 RFC45114.1 中定义的以下 LDAP10 引用。 。请勿使用security.ldap.servers
列出基础架构中的每台 LDAP 服务器。您可以为 LDAP 服务器添加前缀
srv:
和srv_raw:
。如果连接字符串指定
"srv:<DNS_NAME>"
,则mongod
将验证"_ldap._tcp.gc._msdcs.<DNS_NAME>"
是否存在,以使 SRV 支持 Active Directory。如果未找到,mongod
将验证 SRV 是否存在"_ldap._tcp.<DNS_NAME>"
。如果找不到 SRV 记录,则mongod
会警告您用"srv_raw:<DNS_NAME>"
代替。如果您的连接字符串指定了
"srv_raw:<DNS_NAME>"
,mongod
会对"<DNS NAME>"
执行 SRV 记录查询。可以在运行中的
mongod
或mongos
上使用setParameter
配置此设置。如果未设置,
mongod
或mongos
将不能使用 LDAP 身份验证或授权。
security.ldap.bind.queryUser
类型:字符串
仅在 MongoDB Enterprise 中可用。
mongod
或mongos
连接到 LDAP 服务器或在该服务器上执行查询时所绑定的身份。仅当满足以下任一条件时才需要:
使用 LDAP 授权。
将 LDAP 查询用于
security.ldap.userToDNMapping
LDAP 服务器不允许匿名绑定
您必须使用
queryUser
和queryPassword
。如果未设置,则
mongod
或mongos
不会尝试绑定到 LDAP 服务器。可以在运行中的
mongod
或mongos
上使用setParameter
配置此设置。注意
Windows MongoDB 部署可以使用
useOSDefaults
而不是queryUser
和queryPassword
。不能同时指定queryUser
和useOSDefaults
。
security.ldap.bind.queryPassword
类型:字符串或数组
仅在 MongoDB Enterprise 中可用。
使用
queryUser
时用于绑定到 LDAP 服务器的密码。您必须使用queryPassword
与queryUser
。如果未设置,则
mongod
或mongos
不会尝试绑定到 LDAP 服务器。您可以使用在运行中的
mongod
或mongos
setParameter
上配置此设置。ldapQueryPassword
setParameter
命令接受字符串或字符串数组。如果将ldapQueryPassword
设置为数组,则 MongoDB 会按顺序尝试每个密码,直到成功为止。使用大量密码滚动 LDAP 帐户密码,无需停机。注意
Windows MongoDB 部署可以使用
useOSDefaults
而不是queryUser
和queryPassword
。不能同时指定queryPassword
和useOSDefaults
。
security.ldap.bind.useOSDefaults
类型:布尔值
默认:false
仅在 Windows 平台上的 MongoDB Enterprise 中可用。
在连接到 LDAP 服务器时,允许
mongod
或mongos
使用您的 Windows 登录档案进行身份验证或绑定。仅在以下情况下才需要:
使用 LDAP 授权。
将 LDAP 查询用于
username transformation
LDAP 服务器不允许匿名绑定
使用
useOSDefaults
替换queryUser
和queryPassword
。
security.ldap.bind.method
类型:字符串
默认值:简单
仅在 MongoDB Enterprise 中可用。
mongod
或mongos
方法用于向 LDAP 服务器进行身份验证。与queryUser
和queryPassword
一起使用以连接到 LDAP 服务器。method
支持以下值:如果指定
sasl
,则可以使用security.ldap.bind.saslMechanisms
配置可用的 SASL 机制。mongod
或mongos
默认为使用DIGEST-MD5
机制。
security.ldap.bind.saslMechanisms
类型:字符串
默认值:DIGEST-MD5
仅在 MongoDB Enterprise 中可用。
以逗号分隔的 SASL 机制列表
mongod
或mongos
可使用此列表向 LDAP 服务器进行身份验证。mongod
或mongos
和 LDAP 服务器必须就至少一种机制达成一致。mongod
或mongos
可在运行时动态加载主机上安装的任何 SASL 机制库。在
mongod
或mongos
主机和远程 LDAP 服务器主机上安装和配置所选 SASL 机制的相应库。默认情况下,操作系统可能包含某些 SASL 库。请遵循与每个 SASL 机制相关的文档来获取有关安装和配置的指南。如果使用
GSSAPI
SASL 机制用于 自管理部署 Kerberos 身份验证,则验证mongod
或mongos
主机上的以下内容:Linux
KRB5_CLIENT_KTNAME
环境变量会解析为主机客户端 Linux Keytab 文件的名称。有关 Kerberos 环境变量的更多信息,请参阅 Kerberos 文档。
Windows
- 如果连接到 Active Directory 服务器,Windows Kerberos 配置在用户登录系统时会自动生成 Ticket-Granting-Ticket。将
useOSDefaults
设置为true
以允许mongod
或mongos
在连接到 Active Directory 服务器并执行查询时使用生成的证书。
将
method
设置为sasl
以使用此选项。注意
有关 SASL 机制的完整列表,请参阅 IANA 列表。请参阅 LDAP 或 Active Directory 服务的文档来识别与该服务兼容的 SASL 机制。
MongoDB 不是 SASL 机制库的来源,MongoDB 文档也不是安装或配置任何给定 SASL 机制的权威来源。如需获得文档和支持,请咨询 SASL 机制库供应商或所有者。
有关 SASL 的更多信息,请参阅以下资源:
对于 Linux,请参阅 Cyrus SASL 文档。
对于 Windows,请参阅 Windows SASL 文档。
security.ldap.transportSecurity
类型:字符串
默认值:tls
仅在 MongoDB Enterprise 中可用。
默认情况下,
mongod
或mongos
会创建与 LDAP 服务器的 TLS/SSL 安全连接。对于 Linux 部署,必须在
/etc/openldap/ldap.conf
文件中配置相应的 TLS 选项。操作系统的程序包管理器通过libldap
依赖项创建此文件作为 MongoDB Enterprise 安装的一部分。有关更完整的说明,请参阅 ldap.conf OpenLDAP 文档 中的 。TLS Options
在 Windows 上部署时,必须将 LDAP 服务器 CA 证书添加到 Windows 证书管理工具中。该工具的确切名称和功能可能会因操作系统版本而异。有关证书管理的更多信息,请参阅您的 Windows 版本对应的文档。
将
transportSecurity
设置为none
以禁用mongod
或mongos
与 LDAP 服务器之间的 TLS/SSL。警告
将
transportSecurity
设置为none
,可在mongod
或mongos
和 LDAP 服务器之间传输明文信息,可能还会传输凭证。
security.ldap.timeoutMS
类型:int
默认值:10000
仅在 MongoDB Enterprise 中可用。
mongod
或mongos
应等待 LDAP 服务器响应请求的时间,以毫秒为单位。如果失败的根源是连接超时,增加
timeoutMS
的值可以防止 MongoDB 服务器和 LDAP 服务器之间的连接失败。降低timeoutMS
的值会缩短 MongoDB 等待 LDAP 服务器响应的时间。可以在运行中的
mongod
或mongos
上使用setParameter
配置此设置。
security.ldap.userToDNMapping
类型:字符串
仅在 MongoDB Enterprise 中可用。
将提供给
mongod
或mongos
进行身份验证的用户名映射到 LDAP 唯一标识名 (DN)。在以下情况下,可能需要使用userToDNMapping
将用户名转换为 LDAP DN:通过 LDAP 简单绑定进行 LDAP 身份验证,其中用户使用非完整 LDAP DN 的用户名向 MongoDB 进行身份验证。
使用需要 DN 的
LDAP authorization query template
。将使用不同身份验证机制(如 x.509、kerberos)向 Mongo DB 进行身份验证的客户端的用户名转换为完整的 LDAP DN,以进行授权。
userToDNMapping
需要一个用引号括住的 JSON 字符串,代表一个有序的文档数组。每个文档都包含正则表达式match
以及用于转换传入用户名的substitution
或ldapQuery
模板。数组中的每个文档均采用以下形式:
{ match: "<regex>" substitution: "<LDAP DN>" | ldapQuery: "<LDAP Query>" } 字段说明例子match
ECMAScript 格式的正则表达式 (regex),用于与提供的用户名进行匹配。每个括号括起来的部分表示substitution
或ldapQuery
使用的正则表达式捕获组。"(.+)ENGINEERING"
"(.+)DBA"
substitution
"cn={0},ou=engineering, dc=example,dc=com"
ldapQuery
"ou=engineering,dc=example, dc=com??one?(user={0})"
对于数组中的每个文档,必须使用
substitution
或ldapQuery
。不能在同一文档中同时指定两者。执行身份验证或授权时,
mongod
或mongos
按给定顺序遍历数组中的每个文档,对照match
过滤器检查身份验证用户名。如果找到匹配项,mongod
或mongos
就会进行转换,并使用输出结果对用户进行身份验证。mongod
或mongos
不会检查数组中的其余文档。如果给定文档与提供的身份验证名称不匹配,
mongod
或mongos
会继续在文档列表中查找其他匹配项。如果在任何文档中都没有找到匹配项,或者文档描述的转换失败,mongod
或mongos
将返回错误信息。如果由于 LDAP 服务器的联网或身份验证失败而无法评估其中一个转换,
mongod
或mongos
还会返回错误。mongod
或mongos
会拒绝连接请求,不检查数组中的其余文件。从 MongoDB 5.0 开始,
userToDNMapping
接受空字符串""
或空数组[ ]
来代替映射文档。如果向userToDNMapping
提供空字符串或空数组,MongoDB 会将经过身份验证的用户名映射为 LDAP DN。以前,提供空映射文档会导致映射失败。例子
下面展示了两个转换文档。第一个文档匹配以
@ENGINEERING
结尾的任何字符串,将后缀前面的所有内容放入正则表达式捕获组中。第二个文档匹配以@DBA
结尾的任何字符串,将后缀前面的所有内容放入正则表达式捕获组中。重要
必须将数组作为字符串传递给 UserToDNMapping。
"[ { match: "(.+)@ENGINEERING.EXAMPLE.COM", substitution: "cn={0},ou=engineering,dc=example,dc=com" }, { match: "(.+)@DBA.EXAMPLE.COM", ldapQuery: "ou=dba,dc=example,dc=com??one?(user={0})" } ]" 用户名为
alice@ENGINEERING.EXAMPLE.COM
的用户匹配第一个文档。正则表达式捕获群组{0}
对应于字符串alice
。生成的输出是 DN"cn=alice,ou=engineering,dc=example,dc=com"
。用户名为
bob@DBA.EXAMPLE.COM
的用户匹配第二个文档。正则表达式捕获群组{0}
对应于字符串bob
。生成的输出是 LDAP 查询"ou=dba,dc=example,dc=com??one?(user=bob)"
。mongod
或mongos
对 LDAP 服务器执行该查询,并返回结果"cn=bob,ou=dba,dc=example,dc=com"
。如果未设置
userToDNMapping
,则在尝试通过 LDAP 服务器对用户进行身份验证或授权时,mongod
或mongos
不会对用户名进行转换。可以在运行中的
mongod
或mongos
上使用setParameter
数据库命令配置此设置。
security.ldap.authz.queryTemplate
类型:字符串
仅在 MongoDB Enterprise 中可用。
格式符合 RFC4515 和 RFC4516 的相对 LDAP 查询 URL,由
mongod
执行,以获取已验证用户所属的 LDAP 组。查询相对于在security.ldap.servers
中指定的一台或多台主机。注意
为了获得更好的性能,可以考虑将用于 MongoDB 授权的 LDAP 群组放入各自的组织单位 (
OU
)。在 URL 中,可以使用以下替换令牌:
替换令牌说明{USER}
使用经过身份验证的用户名进行替换,或者,如果指定了userToDNMapping
,则使用transformed
用户名进行替换。{PROVIDED_USER}
替换所提供的用户名,即在身份验证或LDAP transformation
之前。构造查询 URL 时,请确保 LDAP 参数的顺序遵循 RFC4516:
[ dn [ ? [attributes] [ ? [scope] [ ? [filter] [ ? [Extensions] ] ] ] ] ] 如果您的查询包含一个属性,则
mongod
会假定该查询检索该实体所属的 DN 的列表。如果查询不包含属性,则
mongod
假定该查询检索用户所属的所有实体。对于查询返回的每个 LDAP DN,
mongod
都会在admin
数据库中为授权用户分配相应的角色。如果admin
数据库上的角色与 DN 完全匹配,mongod
将向用户授予该角色以及分配给该角色的权限。有关创建角色的信息,请参阅db.createRole()
方法,了解创建角色的更多信息。例子
此 LDAP 查询返回 LDAP 用户对象的
memberOf
属性中列出的所有群组。"{USER}?memberOf?base" 您的 LDAP 配置可能不包含
memberOf
属性作为用户架构的一部分,可能具有不同的属性来报告组成员身份,或者可能无法通过属性跟踪组成员身份。根据您自己独特的 LDAP 配置来配置您的查询。如果未设置,
mongod
将无法使用 LDAP 对用户进行授权。可以在运行中的
mongod
上配置此设置,但需使用setParameter
数据库命令。
setParameter
选项
setParameter
设置自管理部署的 MongoDB 服务器参数中描述的一个或多个 MongoDB 参数
要在 YAML 配置文件中设置参数,请使用以下格式:
setParameter: <parameter1>: <value1> <parameter2>: <value2> 例如,在配置文件中指定
enableLocalhostAuthBypass
:setParameter: enableLocalhostAuthBypass: false
LDAP Parameters
setParameter.ldapUserCacheInvalidationInterval
类型:int
默认值:30
用于与使用自管理部署上的 LDAP 授权的
mongod
服务器一起使用。mongod
在外部用户缓存刷新之间的等待间隔(以秒为单位)。mongod
刷新外部用户缓存后,下次获得 LDAP 授权的用户发出操作时,MongoDB 会从 LDAP 服务器重新获取授权数据。增加指定的值会增加
mongod
和 LDAP 服务器不同步的时间,但会减少 LDAP 服务器上的负载。相反,减少指定的值会缩短mongod
和 LDAP 服务器不同步的时间,但会增加 LDAP 服务器上的负载。
setParameter: ldapUserCacheInvalidationInterval: <int>
storage
选项
在版本 4.4 中进行了更改:
MongoDB 删除了
storage.indexBuildRetry
选项和相应的--noIndexBuildRetry
命令行选项。MongoDB 弃用了
storage.wiredTiger.engineConfig.maxCacheOverflowFileSizeGB
选项。从 MongoDB 4.4 开始,该选项无效。
storage: dbPath: <string> journal: enabled: <boolean> commitIntervalMs: <num> directoryPerDB: <boolean> syncPeriodSecs: <int> engine: <string> wiredTiger: engineConfig: cacheSizeGB: <number> journalCompressor: <string> directoryForIndexes: <boolean> maxCacheOverflowFileSizeGB: <number> collectionConfig: blockCompressor: <string> indexConfig: prefixCompression: <boolean> inMemory: engineConfig: inMemorySizeGB: <number> oplogMinRetentionHours: <double>
storage.dbPath
类型:字符串
默认值:
/data/db
在 Linux 和 macOS 上\data\db
在 Windows 中
mongod
实例存储数据的目录。storage.dbPath
设置仅适用于mongod
。注意
配置文件
mongod.conf
包管理器安装文件中包含的默认配置文件使用以下特定于平台的默认值来设置storage.dbPath
:平台包管理器:默认storage.dbPath
RHEL / CentOS 和 Amazonyum
/var/lib/mongo
SUSEzypper
/var/lib/mongo
Ubuntu 和 Debianapt
/var/lib/mongodb
macOSbrew
/usr/local/var/mongodb
Linux 包初始化脚本并不希望
storage.dbPath
更改默认值。如果使用 Linux 包并更改storage.dbPath
,则必须使用自己的初始化脚本并禁用内置脚本。
storage.journal.enabled
类型:布尔值
默认值:64 位系统上为
true
,32 位系统上为false
启用或禁用持久性日志,确保数据文件保持有效且可恢复。 此选项仅在您指定
storage.dbPath
设置时适用。 默认情况下,mongod
会启用日志功能。storage.journal.enabled
设置仅适用于mongod
。不适用于使用
mongod
内存存储引擎的实例。您不能为使用WiredTiger存储引擎的副本集成员指定
--nojournal
选项或storage.journal.enabled: false
。
storage.journal.commitIntervalMs
类型:数字
默认值:100
mongod
进程允许在两次日志操作之间的最大时间(以毫秒为单位)。范围可以是 1 到 500 毫秒。较低的值会增加日志的持久性,但会牺牲磁盘性能。在 WiredTiger 上,默认日志提交间隔为 100 毫秒。此外,包含或暗示
j:true
的写入会导致日志立即同步。有关影响同步频率的详细信息或其他条件,请参阅 日志进程。storage.journal.commitIntervalMs
设置仅适用于mongod
。不适用于使用
mongod
内存存储引擎的实例。
storage.directoryPerDB
类型:布尔值
默认:false
为
true
时,MongoDB 使用单独的目录存储每个数据库的数据。这些目录位于storage.dbPath
目录下,每个子目录的名称都与数据库名称相对应。storage.directoryPerDB
设置仅适用于mongod
。不适用于使用
mongod
内存存储引擎的实例。从 MongoDB 5.0 开始,启用
storage.directoryPerDB
时删除数据库中的最终集合(或删除数据库本身)会删除该数据库的新空子目录。要更改现有部署的
storage.directoryPerDB
选项:对于独立运行的实例:
停止
mongod
实例。添加
storage.directoryPerDB
值并配置新的数据目录重新启动
mongod
实例。使用
mongorestore
填充新数据目录。
对于副本集:
停止从节点成员。
添加
storage.directoryPerDB
值并为该从节点成员配置新的数据目录。重启该从节点。
使用初始同步填充新数据目录。
以同样的方式更新剩下的从节点。
降级主节点,并以相同的方式更新降级的成员。
storage.syncPeriodSecs
类型:数字
默认:60
MongoDB 将数据刷新到数据文件之前可以经过的时间量。
请勿对生产系统设置此值。几乎在所有情况下,均应使用默认设置。
mongod
进程非常快速地将数据写入日志,然后延迟地写入数据文件。storage.syncPeriodSecs
对日志记录没有影响,但如果将storage.syncPeriodSecs
设置为0
,日志最终会消耗所有可用磁盘空间。storage.syncPeriodSecs
设置仅适用于mongod
。不适用于使用
mongod
内存存储引擎的实例。为了提供持久性数据,WiredTiger 使用了检查点。 有关详细信息,请参阅《日志和 WiredTiger 存储引擎》。
storage.engine
默认值:
wiredTiger
mongod
数据库的存储引擎。可用值包括:值说明wiredTiger
指定 WiredTiger 存储引擎。inMemory
仅在 MongoDB Enterprise 中可用。
如果您尝试使用包含由非
storage.engine
指定的存储引擎生成的数据文件的storage.dbPath
来启动mongod
,则mongod
将拒绝启动。
storage.oplogMinRetentionHours
类型:double
指定保留 oplog 条目的最小小时数,其中十进制值表示小时的小数部分。例如,值
1.5
表示一小时三十分钟。该值不得小于
0
。值为0
表示mongod
应从最旧的条目开始截断 oplog,以维持配置的最大 oplog 大小。默认值为
0
。使用
oplogMinRetentionHours
启动的mongod
会删除 oplog 条目,仅在以下情况下:oplog 已达到配置的 oplog 最大大小,并且
oplog 条目早于根据主机系统时钟配置的小时数。
在配置了最短 oplog 保留期时,
mongod
有以下行为:oplog 的大小可以不受限制地增长,以便在配置的小时数内保留 oplog 条目。由于写入量高且保留期长,这可能会导致系统磁盘空间减少或耗尽。
如果 oplog 超过其最大值,即使后来恢复到其最大值或配置为较小的最大值,
mongod
仍可能继续占用磁盘空间。请参阅减小 Oplog 大小不会立即收回磁盘空间。mongod
在执行 oplog 条目保留时,将系统挂钟与 oplog 条目创建挂钟时间进行比较。集群组件之间的时钟漂移可能会导致意外的 oplog 保留行为。有关跨集群节点的时钟同步的更多信息,请参阅时钟同步。
要在启动
mongod
后更改 oplog 的最小保留期,请使用replSetResizeOplog
。replSetResizeOplog
使您能够动态调整 oplog 的大小,而无需重启mongod
进程。要在重启后保持使用replSetResizeOplog
所做的更改,请更新oplogMinRetentionHours
的值。
storage.wiredTiger
选项
storage: wiredTiger: engineConfig: cacheSizeGB: <number> journalCompressor: <string> directoryForIndexes: <boolean> maxCacheOverflowFileSizeGB: <number> collectionConfig: blockCompressor: <string> indexConfig: prefixCompression: <boolean>
storage.wiredTiger.engineConfig.cacheSizeGB
类型:浮点
定义 WiredTiger 用于所有数据的内部缓存的最大大小。索引构建消耗的内存(请参阅
maxIndexBuildMemoryUsageMegabytes
)与 WiredTiger 缓存内存是分开的。取值范围可以从
0.25
GB 到10000
GB 不等。默认 WiredTiger 内部缓存大小为以下两者中的较大者:
(RAM 大小 - 1 GB)的 50%,或
256 MB.
例如,在总 RAM 为 4GB 的系统上,WiredTiger 缓存使用 1.5GB RAM (
0.5 * (4 GB - 1 GB) = 1.5 GB
)。相反,在总 RAM 为 1.25GB 的系统上,WiredTiger 为 WiredTiger 缓存分配了 256 MB,因为这大于总 RAM 的一半减去 1 GB (0.5 * (1.25 GB - 1 GB) = 128 MB < 256 MB
)。注意
在某些情况下,比如在容器中运行时,数据库的内存约束可以低于系统总内存。在此类情况下,将此内存限制而非系统总内存用作最大可用 RAM。
如需查看内存限制,请参阅
hostInfo.system.memLimitMB
。避免将 WiredTiger 内部缓存大小增加到超过其默认值。
借助 WiredTiger,MongoDB 可同时利用 WiredTiger 内部缓存和文件系统缓存。
借助文件系统缓存,MongoDB 会自动使用 WiredTiger 缓存或其他进程未使用的所有空闲内存。
注意
storage.wiredTiger.engineConfig.cacheSizeGB
限制了 WiredTiger 内部缓存的大小。操作系统使用可用的空闲内存进行文件系统缓存,这允许压缩的 MongoDB 数据文件保留在内存中。此外,操作系统使用任何空闲 RAM 来缓冲文件系统块和文件系统缓存。为了容纳额外的 RAM 用户,您可能必须减少 WiredTiger 的内部缓存大小。
默认 WiredTiger 内部缓存大小值假设每台计算机有一个
mongod
实例。如果一台机器包含多个 MongoDB 实例,则应减少该设置以容纳其他mongod
实例。如果您在某一容器(例如,
lxc
、cgroups
、Docker 等)中运行mongod
,而这一容器无权访问系统中的全部可用 RAM,请将storage.wiredTiger.engineConfig.cacheSizeGB
的值设置为小于容器中可用 RAM 数量的值。确切的数量取决于容器中运行的其他进程。请参阅memLimitMB
。
storage.wiredTiger.engineConfig.directoryForIndexes
类型:布尔值
默认:false
当
storage.wiredTiger.engineConfig.directoryForIndexes
为true
时,mongod
将索引和集合存储在数据(即storage.dbPath
)目录下单独的子目录中。具体来说,mongod
将索引存储在名为index
的子目录中,并将集合数据存储在名为collection
的子目录中。您可以使用符号链接,为索引指定不同的位置。具体而言,当
mongod
实例未运行时,将index
子目录移至目标并在数据目录下创建一个名为index
的符号链接,指向新目标。
storage.wiredTiger.engineConfig.zstdCompressionLevel
类型:整型
默认:6
指定使用 zstd 压缩器时的压缩级别。
数值范围从 1 到 22。
zstdCompressionLevel
的指定值越高,应用的压缩率就越高。仅当
blockCompressor
设置为zstd
时适用。从 MongoDB 5.0 开始提供
storage.wiredTiger.collectionConfig.blockCompressor
默认值:snappy
指定集合数据的默认压缩类型。创建集合时,您可以针对每个集合覆盖此设置。
可用的压缩类型有:
storage.wiredTiger.collectionConfig.blockCompressor
会影响创建的所有集合。如果在现有 MongoDB 部署上更改storage.wiredTiger.collectionConfig.blockCompressor
的值,则所有新集合都将使用指定的压缩程序。现有集合继续使用创建时的指定压缩程序,或当时的默认压缩程序。
storage.wiredTiger.indexConfig.prefixCompression
默认值:true
为索引数据启用或禁用前缀压缩。
为
storage.wiredTiger.indexConfig.prefixCompression
指定true
可对索引数据启用前缀压缩,指定false
可为索引数据禁用前缀压缩。storage.wiredTiger.indexConfig.prefixCompression
设置会影响创建的所有索引。如果在现有 MongoDB 部署上更改storage.wiredTiger.indexConfig.prefixCompression
的值,则所有新索引都将使用前缀压缩。现有索引不受影响。
storage.inmemory
选项
storage: inMemory: engineConfig: inMemorySizeGB: <number>
operationProfiling
选项
operationProfiling: mode: <string> slowOpThresholdMs: <int> slowOpSampleRate: <double> filter: <string>
operationProfiling.mode
类型:字符串
默认值:
off
指定应该进行性能分析的操作。以下分析器级别可用:
等级说明off
分析器已关闭,因此不收集任何数据。这是默认的分析器级别。slowOp
分析器会收集耗时超过slowms
值的操作的数据。all
该分析器会收集所有操作的数据。警告
分析会降低性能,并在系统日志中暴露未经加密的查询数据。在生产部署中配置和启用分析器之前,请仔细考虑对性能和安全的影响。
有关潜在性能下降的更多信息,请参阅分析器开销。
operationProfiling.slowOpThresholdMs
类型:整型
默认值:100
慢速操作时长阈值(以毫秒为单位)。运行时长超过此阈值的操作被视为慢速操作。
当
logLevel
设置为0
时,MongoDB 将慢速操作记录到诊断日志中,记录速率由slowOpSampleRate
确定。如果
logLevel
设置得较高,所有操作无论延迟如何,都会显示在诊断日志中,但从节点记录慢速 oplog 条目消息这项操作除外。从节点仅记录慢速 oplog 条目。增加logLevel
不会导致记录所有 oplog 条目。
operationProfiling.slowOpSampleRate
类型:double
默认值:1.0
应分析或记录的慢速操作的比例。
operationProfiling.slowOpSampleRate
接受 0 到 1(含)之间的值。slowOpSampleRate
设置适用于mongod
和mongos
。
operationProfiling.filter
类型:查询文件的字符串表示
一个过滤器表达式,用于控制要分析和记录的操作。
设置
filter
后,slowOpThresholdMs
和slowOpSampleRate
不用于分析和慢查询日志行。在配置文件中设置分析过滤器时,该过滤器将应用于部署中的所有数据库。要为特定数据库设置配置文件过滤器,请使用
db.setProfilingLevel()
方法。该选项采用以下形式的查询文档的字符串表示形式:
{ <field1>: <expression1>, ... } <field>
可以是分析器输出中的任何字段。<expression>
是查询条件表达式。要在配置文件中指定分析过滤器,必须:
用单引号将筛选器文档括起来,以便将该文档作为字符串传递。
使用 YAML 格式的配置文件。
例如,以下
filter
将分析器配置为记录耗时超过 2 秒的query
操作:operationProfiling: mode: all filter: '{ op: "query", millis: { $gt: 2000 } }'
replication
选项
replication: oplogSizeMB: <int> replSetName: <string> enableMajorityReadConcern: <boolean>
replication.oplogSizeMB
类型:整型
oplog 的最大大小(以兆字节为单位)。
oplogSizeMB
设置将配置 oplog 的未压缩大小,而不是磁盘上的大小。注意
oplog 的大小可能会超过其配置的大小限制,从而避免删除
majority commit point
。默认情况下,
mongod
进程会根据最大可用空间创建一个 oplog。对于 64 位系统,该 oplog 通常占可用磁盘空间的 5%。只要
mongod
首次创建了 oplog,更改replication.oplogSizeMB
选项将不会影响 oplog 的大小。要在启动mongod
后更改最大 oplog 大小,请使用replSetResizeOplog
。使用replSetResizeOplog
可以动态调整 oplog 的大小,而无需重启mongod
进程。若要通过重启来保持使用replSetResizeOplog
所做的更改,请更新oplogSizeMB
的值。更多信息,请参阅 Oplog 大小。
replication.oplogSizeMB
设置仅适用于mongod
。
replication.replSetName
类型:字符串
mongod
所属副本集的名称。副本集中的所有主机必须具有相同的设置名称。如果您的应用程序连接到多个副本集,则每个副本集的名称必须不同。有些驱动程序会按副本集名称对副本集连接进行分组。
replication.replSetName
设置仅适用于mongod
。replication.replSetName
不能与storage.indexBuildRetry
同时使用。对于WiredTiger storage engine ,
storage.journal.enabled: false
不能与replication.replSetName
一起使用。
replication.enableMajorityReadConcern
默认值:true
配置对
"majority"
读关注的支持。从 MongoDB 5.0 开始,
enableMajorityReadConcern
不可更改,并始终设置为true
。尝试使用--enableMajorityReadConcern
选项启动不支持多数读关注的存储引擎会失败并返回错误消息。在早期版本的 MongoDB 中,
enableMajorityReadConcern
是可配置的。警告
如使用主节点-从节点-仲裁节点 (PSA) 三成员架构,请考虑以下因素:
如果从节点不可用或滞后,写关注
"majority"
可能会导致性能问题。有关如何缓解这些问题的建议,请参阅缓解自管理 PSA 副本集的性能问题。如果使用的全局默认值
"majority"
,并且写关注小于大多数的大小,则您的查询可能会返回过时(未完全复制)的数据。
sharding
选项
sharding: clusterRole: <string> archiveMovedChunks: <boolean>
sharding.clusterRole
类型:字符串
mongod
实例在分片集群中的角色。将其设置设为以下之一:值说明configsvr
将此实例作为配置服务器启动。默认情况下,该实例在端口
27019
上启动。将 MongoDB 实例配置为 clusterRole
configsvr
时,还必须指定replSetName
。shardsvr
将该实例作为分片启动。默认情况下,该实例在端口
27018
上启动。当您将 MongoDB 实例配置为 clusterRole
shardsvr
时,您还必须指定replSetName
。注意
设置
sharding.clusterRole
要求mongod
实例在运行时进行复制。要将实例部署为副本集成员,请使用replSetName
设置并指定副本集的名称。sharding.clusterRole
设置仅适用于mongod
。
auditLog
选项
注意
仅在 MongoDB Enterprise 和 MongoDB Atlas 中有用。
auditLog: destination: <string> format: <string> path: <string> filter: <string>
auditLog.auditEncryptionKeyIdentifier
类型:字符串
6.0 版本中的新功能。
指定用于审核日志加密的 Key Management Interoperability Protocol (KMIP) 密钥的唯一标识符。
auditLog.auditEncryptionKeyIdentifier
和auditLog.localAuditKeyFile
不能一起使用。注意
仅在 MongoDB Enterprise 中可用。MongoDB Enterprise 和 Atlas 有不同的配置要求。
auditLog.compressionMode
类型:字符串
5.3 版本中的新增功能。
指定压缩模式以进行审核日志加密。您还须使用
auditLog.auditEncryptionKeyIdentifier
或auditLog.localAuditKeyFile
启用审核日志加密。auditLog.compressionMode
可以设置为以下值之一:值说明zstd
使用 zstd 算法压缩审核日志。none
(默认)请勿压缩审核日志。注意
仅在 MongoDB Enterprise 中可用。MongoDB Enterprise 和 Atlas 有不同的配置要求。
auditLog.destination
类型:字符串
设置后,
auditLog.destination
会启用审核并指定mongos
或mongod
将所有审核事件发送到何处。auditLog.destination
可能的值:值说明syslog
将审核事件以 JSON 格式输出到系统日志中。在 Windows 上不可用。审核消息的系统日志严重性级别为
info
,设施级别为info
。系统日志消息限制可能会导致审核消息被截断。审核系统既不会检测此类截断,也不会在其出现时报错。
console
将审核事件以 JSON 格式输出到stdout
。file
以auditLog.format
中指定的格式将审核事件输出到auditLog.path
中指定的文件。注意
仅在 MongoDB Enterprise 和 MongoDB Atlas 中有用。
auditLog.filter
类型:文档的字符串表示
限制审核系统记录的操作类型的筛选器。该选项采用以下形式的查询文档的字符串表示形式:
{ <field1>: <expression1>, ... } <field>
可以是审核消息中的任意字段,包括参数文档中返回的字段。<expression>
是查询条件表达式。要指定 Atlas 审核过滤器,请将过滤器文档括在单引号 中,以将文档作为字符串传递。
要在配置文件中指定审核过滤器,必须使用配置文件的 YAML 格式。
注意
仅在 MongoDB Enterprise 和 MongoDB Atlas 中有用。
auditLog.format
类型:字符串
destination
为file
时,用于审核的输出文件的格式。auditLog.format
选项可为以下值之一:值说明JSON
将 JSON 格式的审核事件输出到auditLog.path
中指定的文件。BSON
以 BSON 二进制格式将审核事件输出到auditLog.path
中指定的文件。与以 BSON 格式打印相比,将 Atlas 审核事件以 JSON 格式打印到文件更可能导致服务器性能下降。
注意
仅在 MongoDB Enterprise 和 MongoDB Atlas 中有用。
auditLog.localAuditKeyFile
类型:字符串
5.3 版本中的新增功能。
指定本地审核密钥文件的路径和文件名,用于审核日志加密。
注意
由于该密钥不安全,仅使用
auditLog.localAuditKeyFile
进行测试。要保护密钥的安全,请使用auditLog.auditEncryptionKeyIdentifier
和外部 Key Management Interoperability Protocol (KMIP) 服务器。auditLog.localAuditKeyFile
和auditLog.auditEncryptionKeyIdentifier
不能一起使用。注意
仅在 MongoDB Enterprise 中可用。MongoDB Enterprise 和 Atlas 有不同的配置要求。
auditLog.path
类型:字符串
如果
destination
的值为file
,则为用于审核的输出文件。该auditLog.path
选项可以使用完整路径名或相对路径名。
snmp
选项
注意
由于 SERVER-29352 ,macOS 上的 MongoDB Enterprise 不 支持 SNMP。
snmp: disabled: <boolean> subagent: <boolean> master: <boolean>
snmp.disabled
类型:布尔值
默认:false
禁用对
mongod
的 SNMP 访问。 该选项与snmp.subagent
和snmp.master
不兼容。设置为
true
可禁用 SNMP 访问。snmp.disabled
设置仅适用于mongod
。版本 4.0.6 中的新增内容。
snmp.subagent
类型:布尔值
当
snmp.subagent
为true
时,SNMP 作为子代理运行。 该选项与设置为true
的snmp.disabled
不兼容。snmp.subagent
设置仅适用于mongod
。
snmp.master
类型:布尔值
当
snmp.master
为true
时,SNMP 作为主节点运行。 该选项与设置为true
的snmp.disabled
不兼容。snmp.master
设置仅适用于mongod
。
mongos
专用选项
replication: localPingThresholdMs: <int> sharding: configDB: <string>
replication.localPingThresholdMs
类型:整型
默认:15
mongos
用于确定哪些辅助副本集成员传递来自客户端的读取操作的 ping 时间(以毫秒为单位)。15
的默认值对应于所有客户端驱动程序中的默认值。当
mongos
收到允许读取从节点的请求时,mongos
:找到该副本集中 ping 时间最短的节点。
构造一个副本集节点列表,保持与该副本集中最近的合适节点的 ping 时间在 15 毫秒之内。
如果为
replication.localPingThresholdMs
选项指定一个值,mongos
将构造一个在该值允许的延迟范围内的副本成员列表。从该列表中随机选择要读取的节点。
按
replication.localPingThresholdMs
设置进行比较的节点所用的网络探测 (ping) 时间是最近网络探测 (ping) 时间的移动平均值,且最多每 10 秒计算一次。因此,在mongos
重新计算平均值之前,一些查询查找到的成员可能会超过阈值。
sharding.configDB
类型:字符串
分片集群的配置服务器将部署为副本集。副本集配置服务器必须运行 WiredTiger 存储引擎。
指定配置服务器副本集名称以及至少一个配置服务器副本集成员的主机名和端口。
sharding: configDB: <configReplSetName>/cfg1.example.net:27019, cfg2.example.net:27019,... 分片集群的
mongos
实例必须指定相同的配置服务器副本集名称,但可指定副本集不同成员的主机名和端口。
Windows 服务选项
processManagement: windowsService: serviceName: <string> displayName: <string> description: <string> serviceUser: <string> servicePassword: <string>
processManagement.windowsService.serviceName
类型:字符串
默认值:mongodb
当作为 Windows 服务运行时,
mongos
或mongod
的服务名称。将此名称与net start <name>
和net stop <name>
操作一起使用。您必须将
processManagement.windowsService.serviceName
与--install
或--remove
选项结合使用。
processManagement.windowsService.description
类型:字符串
默认:MongoDB 服务器
必须将
processManagement.windowsService.description
与--install
选项结合使用。对于包含空格的说明,必须将说明括在引号中。
processManagement.windowsService.serviceUser
类型:字符串
特定用户环境中的
mongos
或mongod
服务。该用户必须享有“作为服务登录”权限。必须将
processManagement.windowsService.serviceUser
与--install
选项结合使用。
processManagement.windowsService.servicePassword
类型:字符串
使用
processManagement.windowsService.serviceUser
选项运行时,mongos
或mongod
的<user>
的密码。必须将
processManagement.windowsService.servicePassword
与--install
选项结合使用。
删除 MMAPv1 选项
MongoDB 删除了已弃用的 MMAPv1 存储引擎和 MMAPv1 特定的配置选项:
删除配置文件设置 | 删除了命令行选项 |
---|---|
storage.mmapv1.journal.commitIntervalMs | |
storage.mmapv1.journal.debugFlags | mongod --journalOptions |
storage.mmapv1.nsSize | mongod --nssize |
storage.mmapv1.preallocDataFiles | mongod --noprealloc |
storage.mmapv1.quota.enforced | mongod --quota |
storage.mmapv1.quota.maxFilesPerDB | mongod --quotaFiles |
storage.mmapv1.smallFiles | mongod --smallfiles |
storage.repairPath | mongod --repairpath |
replication.secondaryIndexPrefetch | mongod --replIndexPrefetch |
对于早期版本的MongoDB,请参阅旧版文档。