将分片群集更新为密钥文件身份验证（无停机时间）

MongoDB 中文手册

参考 > 安全 > 认证方式 > 内部/会员身份验证 > 将分片群集更新为密钥文件身份验证（无停机时间）

在本页面

总览
注意事项
在现有分片群集上实施密钥文件访问控制
x.509证书内部身份验证

概述¶

重要

以下过程适用于使用MongoDB 3.4或更高版本的分片群集。

MongoDB的早期版本不支持无停机升级。对于使用早期版本的MongoDB的分片群集，请参阅将分片群集更新为密钥文件身份验证。

MongoDB分片群集可以强制执行用户身份验证以及其组件的内部身份验证，以防止未经授权的访问。

以下教程描述了一个过程security.transitionToAuth，该过程用于过渡现有分片群集以强制执行身份验证而不会造成停机。

在尝试本教程之前，请熟悉本文档的内容。

注意事项¶

Cloud Manager和Ops Manager¶

如果您使用Cloud Manager或Ops Manager来管理部署，请参阅Cloud Manager手册或Ops Manager手册中的“ 为MongoDB部署配置访问控制”以强制执行身份验证。

IP绑定¶

在版本3.6中更改。

从MongoDB 3.6，MongoDB二进制文件mongod和开始 mongos，localhost默认情况下绑定到。从MongoDB 2.6到3.4版本localhost，默认情况下仅绑定来自正式MongoDB RPM（Red Hat，CentOS，Fedora Linux和衍生产品）和DEB（Debian，Ubuntu和衍生产品）的二进制文件。要了解有关此更改的更多信息，请参阅 Localhost绑定兼容性更改。

内部和客户端身份验证机制¶

本教程使用 SCRAM进行身份验证，以进行客户端身份验证，并使用密钥文件进行内部身份验证。

有关可用的客户端和内部身份验证机制的完整列表，请参阅身份验证文档。

架构¶

本教程假定每个分片副本集以及配置服务器副本集在退出现有主副本后都可以选择新的主副本。

仅当同时满足以下两个条件时，副本集才能选择主副本：

淘汰主要成员后，大多数有表决权的副本集成员都可用。
至少有一个可用的辅助成员，该成员没有延迟，隐藏或优先级0。

的最小数量`mongos`的实例¶

确保分片集群至少有两个可用的mongos实例。本教程要求重新启动mongos集群中的每个服务器。如果分片群集只有一个mongos 实例，则在mongos脱机期间将导致停机。

在现有分片群集上实施密钥文件访问控制¶

创建和分发密钥文件¶

与密钥文件身份验证，每个 mongod或mongos实例的分片集群中使用密钥文件作为用于在部署认证其他成员共享密码的内容。只有 mongod或mongos具有正确密钥文件的实例可以加入分片群集。

注意

从MongoDB 4.2开始，用于内部成员身份验证的密钥文件使用YAML格式，以允许密钥文件中包含多个密钥。YAML格式接受以下内容：

单个键字符串（与早期版本相同），
多个键字符串（每个字符串必须用引号引起来），或者
键串的顺序。

YAML格式与使用文本文件格式的现有单键密钥文件兼容。

密钥的长度必须在6到1024个字符之间，并且只能包含base64集中的字符。分片群集的所有成员必须共享至少一个公共密钥。

注意

在UNIX系统上，密钥文件不得具有组或世界权限。在Windows系统上，不检查密钥文件权限。

您可以使用任何选择的方法来生成密钥文件。例如，以下操作用于openssl生成复杂的伪随机1024字符串，用作共享密码。然后，它chmod用于更改文件许可权，以仅为文件所有者提供读取许可权：

复制

openssl rand -base64 755 > <path-to-keyfile>
chmod 400 <path-to-keyfile>

将密钥文件复制到托管分片集群成员的每个服务器。确保运行mongod或mongos实例的用户是文件的所有者，并且可以访问密钥文件。

避免存储关于可从托管的硬件来容易地断开连接的存储介质的密钥文件mongod或mongos实例，诸如USB驱动器或网络连接的存储设备。

有关使用密钥文件进行内部身份验证的更多信息，请参阅密钥文件。

配置分片群集管理员用户和客户端用户¶

您必须连接到mongos才能完成本节中的步骤。在这些步骤中创建的用户是群集级用户，不能用于访问各个分片副本集。

1个

创建管理员用户。¶

使用该db.createUser()方法创建管理员用户并为其分配以下角色：

clusterAdmin在admin数据库上
userAdmin在admin数据库上的角色

在分片群集上执行维护操作或用户管理操作的客户端必须在本教程完成时以该用户身份进行身份验证。立即创建此用户，以确保您在执行身份验证后可以访问群集。

复制

admin = db.getSiblingDB("admin");
admin.createUser(
  {
    user: "admin",
    pwd: "<password>",
    roles: [
      { role: "clusterAdmin", db: "admin" },
      { role: "userAdmin", db: "admin" }
    ]
  }
);

重要

密码应随机，长且复杂，以防止或阻止恶意访问。

可选：为客户端应用程序创建其他用户。¶

除了管理员用户之外，您还可以在强制执行身份验证之前创建其他用户。这可以确保在完全强制执行身份验证后访问分片群集。

例

以下操作joe在marketing数据库上创建用户，并为此用户分配数据库readWrite上的角色marketing。

复制

db.getSiblingDB("marketing").createUser(
  {
    "user": "joe",
    "pwd": "<password>",
    "roles": [ { "role" : "readWrite", "db" : "marketing" } ]
  }
)

身份验证为的客户端"joe"可以在marketing数据库上执行读写操作。

请参阅数据库用户角色以获取MongoDB提供的角色。

有关添加用户的更多信息，请参见添加用户教程。添加新用户时，请考虑安全性最佳做法。

可选：更新客户端应用程序以指定身份验证凭据。¶

尽管分片群集当前不强制执行身份验证，但是在连接到分片群集时，您仍然可以更新客户端应用程序以指定身份验证凭据。这可以防止在本教程完成时失去连接。

例

以下操作使用mongo外壳程序连接到分片群集，joe并以 marketing数据库中的用户身份进行身份验证。

复制

mongo  --username "joe" --password "<password>" \
  --authenticationDatabase "marketing" --host mongos1.example.net:27017

如果您的应用程序使用MongoDB驱动程序，请参阅相关的驱动程序文档，以获取有关创建经过身份验证的连接的说明。

过渡每个`mongos`实例以执行身份验证¶

1个

创建一个新的`mongos`配置文件。¶

对于每个mongos：

复制现有的mongos配置文件，并为其指定一个不同的名称，例如<filename>-secure.conf（或.cfg使用Windows）。您将使用此新配置文件转换，mongos以在分片群集中强制执行身份验证。保留原始配置文件以用于备份。
在新的配置文件中，添加以下设置：
- security.transitionToAuth 设置 true
- security.keyFile 设置为密钥文件路径。
  
  如果使用其他内部认证机制，请指定适合该机制的设置。
复制
```
security:
   transitionToAuth: true
   keyFile: <path-to-keyfile>
```
新的配置文件应包含以前使用的所有配置设置mongos以及新的安全设置。

一次一个，`mongos`用新的配置文件重新启动。¶

注意

如果您的集群只有一个集群mongos，则此步骤将导致mongos离线状态下的停机时间。

按照以下步骤重新启动mongos实例，一次 mongos一次：

连接mongos到关机。
db.shutdownServer() 对admin数据库使用该方法可以安全地关闭 mongos。
复制
```
db.getSiblingDB("admin").shutdownServer()
```
重新启动mongos新的配置文件，使用来指定配置文件的路径 --config。例如，如果新的配置文件名为mongos-secure.conf：
复制
```
mongos --config <path>/mongos-secure.conf
```
其中<path>代表包含新配置文件的文件夹的系统路径。

对下一个mongos实例重复重新启动过程，直到分片mongos群集中的所有实例都已重新启动。

在本节的最后，分片mongos群集中的所有实例都使用身份验证security.transitionToAuth 和security.keyFile内部身份验证运行。

过渡配置服务器副本集成员以强制执行身份验证¶

1个

创建一个新的`mongod`配置文件。¶

对于mongod配置服务器副本集中的每个副本，

复制现有的mongod配置文件，并为其指定一个不同的名称，例如<filename>-secure.conf（或.cfg使用Windows）。您将使用此新配置文件转换，mongod以在分片群集中强制执行身份验证。保留原始配置文件以用于备份。
在新的配置文件中，添加以下设置：
- security.transitionToAuth 设置 true
- security.keyFile 设置为密钥文件路径。
  
  如果使用其他内部认证机制，请指定适合该机制的设置。
复制
```
security:
   transitionToAuth: true
   keyFile: <path-to-keyfile>
```

一次一个，`mongod`用新的配置文件重新启动。¶

重新启动副本集，一次启动一个成员，从次要成员开始。

要一次重新启动辅助成员，
1. 连接到，mongod并对数据库使用该 db.shutdownServer()方法admin来安全关闭mongod。
  复制
  db.getSiblingDB("admin").shutdownServer()
2. mongod使用新的配置文件重新启动，并使用来指定配置文件的路径--config。例如，如果新的配置文件名为mongod-secure.conf：
  复制
  mongod --config <path>/mongod-secure.conf
  其中<path>代表包含新配置文件的文件夹的系统路径。
一旦该成员启动，对下一个辅助成员重复一次。
一旦所有辅助成员都重新启动并启动，请重新启动主要成员：
1. 连接到mongod。
2. 使用该rs.stepDown()方法可以降低主要级别并触发选举。
  复制
  rs.stepDown()
  您可以使用该rs.status()方法来确保副本集选择了新的主数据库。
3. 降级主要数据库并选择了新的主要数据库后，请使用db.shutdownServer()针对admin数据库的方法关闭旧的主要数据库。
  复制
  db.getSiblingDB("admin").shutdownServer()
4. mongod使用新的配置文件重新启动，并使用来指定配置文件的路径 --config。例如，如果新的配置文件名为mongod-secure.conf：
  复制
  mongod --config <path>/mongod-secure.conf
  其中<path>代表包含新配置文件的文件夹的系统路径。

在本节结束时，所有mongod在配置服务器副本集实例与运行security.transitionToAuth和 security.keyFile内部认证。

过渡每个分片副本集成员以强制执行身份验证¶

创建分片本地管理员¶

在实施身份验证的分片群集中，每个分片副本集应具有自己的分片本地管理员。您不能对一个分片使用分片本地管理员来访问另一个分片或分片的集群。

连接到每个分片副本集的主要成员，并使用db.createUser()方法创建用户，并为其分配以下角色：

clusterAdmin在admin数据库上
userAdmin在admin数据库上的角色

小费

从mongoShell的4.2版本开始，您可以将该passwordPrompt()方法与各种用户身份验证/管理方法/命令结合使用，以提示输入密码，而不是直接在方法/命令调用中指定密码。但是，您仍然可以像在早期版本的mongoShell中一样直接指定密码。

复制

admin = db.getSiblingDB("admin")
admin.createUser(
  {
    user: "admin",
    pwd: passwordPrompt(),  // or cleartext password
    roles: [
      { role: "clusterAdmin", db: "admin" },
      { role: "userAdmin", db: "admin" }
    ]
  }
)

在完成本教程后，如果要连接到分片以执行需要直接连接到分片的维护操作，则必须以本地分片管理员身份进行身份验证。

注意

与分片的直接连接仅应用于分片特定的维护和配置。通常，客户端应通过来连接到分片群集mongos。

程序¶

一次转换一个分片副本集，对分片群集中的每个分片副本集重复这些步骤。

1个

创建一个新的`mongod`配置文件。¶

对于分片mongod副本集中的每个副本，

复制现有的mongod配置文件，并为其指定一个不同的名称，例如<filename>-secure.conf（或.cfg使用Windows）。您将使用此新配置文件转换，mongod以在分片群集中强制执行身份验证。保留原始配置文件以用于备份。
在新的配置文件中，添加以下设置：
- security.transitionToAuth 设置 true
- security.keyFile 设置为密钥文件路径。
  
  如果使用其他内部认证机制，请指定适合该机制的设置。
复制
```
security:
   transitionToAuth: true
   keyFile: <path-to-keyfile>
```

一次一个，`mongod`用新的配置文件重新启动。¶

重新启动副本集，一次启动一个成员，从次要成员开始。

要一次重新启动辅助成员，
1. 连接到，mongod并对数据库使用该 db.shutdownServer()方法admin来安全关闭mongod。
  复制
  db.getSiblingDB("admin").shutdownServer()
2. mongod使用新的配置文件重新启动，并使用来指定配置文件的路径--config。例如，如果新的配置文件名为mongod-secure.conf：
  复制
  mongod --config <path>/mongod-secure.conf
  其中<path>代表包含新配置文件的文件夹的系统路径。
一旦此成员启动，请对副本集的下一个辅助成员重复操作，直到所有辅助副本都已更新。
一旦所有辅助成员都重新启动并启动，请重新启动主要成员：
1. 连接到mongod。
2. 使用该rs.stepDown()方法可以降低主要级别并触发选举。
  复制
  rs.stepDown()
  您可以使用该rs.status()方法来确保副本集选择了新的主数据库。
3. 降级主要数据库并选择了新的主要数据库后，请使用db.shutdownServer()针对admin数据库的方法关闭旧的主要数据库。
  复制
  db.getSiblingDB("admin").shutdownServer()
4. mongod使用新的配置文件重新启动，并使用来指定配置文件的路径 --config。例如，如果新的配置文件名为mongod-secure.conf：
  复制
  mongod --config <path>/mongod-secure.conf
  其中<path>代表包含新配置文件的文件夹的系统路径。

在教程这一点上，分片集群的每个分量与运行--transitionToAuth和security.keyFile 内部验证。分片群集至少有一个管理用户，并且每个分片副本集都有一个分片本地管理用户。

其余部分涉及将分片群集从过渡状态中移出以完全实施身份验证。

重新启动每个`mongos`实例，不带`transitionToAuth`¶

重要

在本节末尾，客户端必须指定身份验证凭据才能连接到分片群集。在完成本节之前，请更新客户端以指定身份验证凭据，以避免失去连接。

要完成到分片群集中完全强制身份验证的过渡，您必须在mongos没有security.transitionToAuth设置的情况下重新启动每个实例。

1个

`transitionToAuth`从`mongos`配置文件中删除。¶

从本教程创建security.transitionToAuth的mongos配置文件中删除密钥及其值。保留security.keyFile在教程中添加的设置。

复制

security:
   keyFile: <path-to-keyfile>

`mongos`使用更新的配置文件重新启动。¶

注意

如果您的集群只有一个集群mongos，则此步骤将导致mongos离线状态下的停机时间。

按照以下步骤重新启动mongos实例，一次 mongos一次：

连接mongos到关机。
使用db.shutdownServer() 针对的方法

MongoDB 中文手册

将分片群集更新为密钥文件身份验证（无停机时间）

概述¶

注意事项¶

Cloud Manager和Ops Manager¶

IP绑定¶

内部和客户端身份验证机制¶

架构¶

的最小数量mongos的实例¶

在现有分片群集上实施密钥文件访问控制¶

创建和分发密钥文件¶

配置分片群集管理员用户和客户端用户¶

创建管理员用户。¶

可选：为客户端应用程序创建其他用户。¶

可选：更新客户端应用程序以指定身份验证凭据。¶

过渡每个mongos实例以执行身份验证¶

创建一个新的mongos配置文件。¶

一次一个，mongos用新的配置文件重新启动。¶

过渡配置服务器副本集成员以强制执行身份验证¶

创建一个新的mongod配置文件。¶

一次一个，mongod用新的配置文件重新启动。¶

过渡每个分片副本集成员以强制执行身份验证¶

创建分片本地管理员¶

程序¶

创建一个新的mongod配置文件。¶

一次一个，mongod用新的配置文件重新启动。¶

重新启动每个mongos实例，不带transitionToAuth¶

transitionToAuth从mongos配置文件中删除。¶

mongos使用更新的配置文件重新启动。¶

的最小数量`mongos`的实例¶

过渡每个`mongos`实例以执行身份验证¶

创建一个新的`mongos`配置文件。¶

一次一个，`mongos`用新的配置文件重新启动。¶

创建一个新的`mongod`配置文件。¶

一次一个，`mongod`用新的配置文件重新启动。¶

创建一个新的`mongod`配置文件。¶

一次一个，`mongod`用新的配置文件重新启动。¶

重新启动每个`mongos`实例，不带`transitionToAuth`¶

`transitionToAuth`从`mongos`配置文件中删除。¶

`mongos`使用更新的配置文件重新启动。¶