将自管理副本集更新为密钥文件身份验证

创建密钥文件。

通过密钥文件身份验证，副本集中的每个 mongod 实例都使用密钥文件的内容作为共享密码，对部署中的其他节点进行身份验证。只有具有正确密钥文件的 mongod 实例才能加入副本集。

密钥的长度必须介于 6 到 1,024 个字符之间，且只能包含 base64 集合中的字符。复制集的所有成员均须至少共享一个公钥。

您可以选择任何方法生成密钥文件。例如，以下操作使用 openssl 生成复杂的伪随机 1024 字符串以用作共享密码。然后，它使用 chmod 更改文件权限，仅为文件所有者提供读取权限：

openssl rand -base64 756 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

有关使用密钥文件的更多详细信息和要求，请参阅密钥文件。

将密钥文件复制到每个副本集节点。

将密钥文件复制到托管副本集成员的每台服务器。确保运行 mongod 实例的用户是此文件的所有者且可访问密钥文件。

避免将密钥文件存储在可以轻松与托管 mongod 实例的硬件断开连接的存储介质上，例如 USB 驱动器或联网存储设备。

关闭副本集的所有节点。

从从节点开始，关闭副本集组中的每个 mongod。继续操作，直到副本集的所有成员均为脱机状态，包括所有仲裁节点。主节点必须是最后一个关闭的成员，以免出现潜在的回滚操作。

要关闭 mongod，请使用 mongosh 连接每个 mongod，并对 admin 数据库发出 db.shutdownServer()：

use admin
db.shutdownServer()

在此步骤结束时，副本集的所有节点都应处于离线状态。

在执行访问控制的情况下重新启动副本集的每个成员。

使用 mongodsecurity.keyFile配置文件设置或 命令行选项，重新启动副本集中的--keyFilemongod 每个 。使用--keyFile 命令行选项或security.keyFile 配置文件设置运行 会在自管理部署中实施 自管理内部/成员身份验证 和 基于角色的访问控制。

security:
  keyFile: <path-to-keyfile>
replication:
  replSetName: <replicaSetName>
net:
   bindIp: localhost,<hostname(s)|ip address(es)>

使用配置文件启动 mongod：

mongod --config <path-to-config-file>

有关配置文件的更多信息，请参阅配置选项。

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

使用本地主机接口连接到主节点。

通过本地主机接口将 mongosh 连接到一个 mongod 实例。您必须在与 mongod 实例相同的物理机器上运行 mongosh。

使用 rs.status() 标识副本集主节点。如果您已连接到主节点，请继续下一步。如果未连接，请通过 localhost 接口将 mongosh 连接到主节点。

创建用户管理员。

使用 db.createUser() 方法添加用户。该用户应在 admin 数据库中至少拥有 userAdminAnyDatabase 角色。

您必须连接到主节点才能创建用户。

以下示例在 admin 数据库上创建具有 userAdminAnyDatabase 角色的用户 fred。

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "fred",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

根据提示输入密码。有关与数据库管理操作相关的内置角色的完整列表，请参阅数据库用户角色。

以用户管理员身份进行身份验证。

对 admin 数据库进行身份验证。

在 mongosh 中，使用 db.auth() 进行身份验证。例如，以下身份验证为用户管理员 fred：

db.getSiblingDB("admin").auth("fred", passwordPrompt()) // or cleartext password

或者，使用 -u <username>、-p <password> 和 --authenticationDatabase 参数将新的 mongosh 实例连接到副本集主节点。

mongosh -u "fred" -p  --authenticationDatabase "admin"

如果您没有为 -p 命令行选项指定密码，mongosh 会提示输入密码。

创建集群管理员（可选）。

集群管理员用户具有 clusterAdmin 角色，可授予对复制操作的访问权限。

在 admin 数据库中创建集群管理员用户并分配 clusterAdmin 角色：

db.getSiblingDB("admin").createUser(
  {
    "user" : "ravi",
    "pwd" : passwordPrompt(),     // or cleartext password
    roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
  }
)

根据提示输入密码。

请参阅集群管理角色，获取与副本集操作相关的内置角色的完整清单。

创建其他用户（可选）。

创建用户，允许客户端与副本集连接和交互。参阅数据库用户角色，了解创建只读和读写用户时使用的基本内置橘色。

您可能还需要其他管理用户。有关用户的更多信息，请参阅自托管部署中的用户。