MongoDB 副本集的用户和权限一般操作步骤

步骤总结：

1. 在主节点上添加超管用户，副本集会自动同步
2. 按照仲裁者、副本节点、主节点的先后顺序关闭所有节点服务
3. 创建副本集认证的key文件，复制到每个服务所在目录
4. 修改每个服务的配置文件，增加参数
5. 启动副本集的每个服务
6. 在主节点上添加普通账号

前言

对于搭建好的mongodb副本集，为了安全，启动安全认证，使用账号密码登录。

副本集环境使用搭建好的，架构如下：

副本集部署文档地址：https://www.cnblogs.com/sanduzxcvbnm/p/13963585.html

对副本集执行访问控制需要配置两个方面 :

1）副本集和共享集群的各个节点成员之间使用内部身份验证，可以使用密钥文件或x.509证书。密钥文件比较简单，本文使用密钥文件，官方推荐如果是测试环境可以使用密钥文件，但是正式环境，官方推荐x.509证书。原理就是，集群中每一个实例彼此连接的时候都检验彼此使用的证书的内容是否相同。只有证书相同的实例彼此才可以访问

2）使用客户端连接到mongodb集群时，开启访问授权。对于集群外部的访问。如通过可视化客户端，或者通过代码连接的时候，需要开启授权。

在keyfile身份验证中，副本集中的每个mongod实例都使用keyfile的内容作为共享密码，只有具有正确密钥文件的mongod或者mongos实例可以连接到副本集。

密钥文件的内容必须在6到1024个字符之间，并且在unix/linux系统中文件所有者必须有对文件至少有读的权限。

关闭已开启的副本集服务（可选）

增加副本集的安全认证和服务鉴权功能，可以在副本集搭建的时候直接添加，也可以在之前搭建好的副本集服务上添加。

本文使用之前搭建好的副本集服务，因此，先停止之前的集群服务

停止服务的方式有两种：快速关闭和标准关闭，下面依次说明：

（1）快速关闭方法（快速，简单，数据可能会出错）

目标：通过系统的kill命令直接杀死进程：

依次杀死仲裁者、副本节点、主节点，直到所有成员都离线。建议主节点最后kill，以避免潜在的回滚。

杀完要检查一下，避免有的没有杀掉。

#通过进程编号关闭节点
kill -2 54410

【补充】

如果一旦是因为数据损坏，则需要进行如下操作（了解）：

1）删除lock文件：

rm -f /home/mongodb/replica_sets/myrs_27017/data/db/*.lock \
/home/mongodb/replica_sets/myrs_27018/data/db/*.lock \
/home/mongodb/replica_sets/myrs_27019/data/db/mongod.lock \

2 ）依次修复数据：

/usr/local/mongodb/bin/mongod --repair --dbpath=/home/mongodb/replica_sets/myrs_27017/data/db
/usr/local/mongodb/bin/mongod --repair --dbpath=/home/mongodb/replica_sets/myrs_27018/data/db
/usr/local/mongodb/bin/mongod --repair --dbpath=/home/mongodb/replica_sets/myrs_27019/data/db

（2）标准的关闭方法（数据不容易出错，但麻烦）：

目标：通过mongo客户端中的shutdownServer命令来依次关闭各个服务

关闭副本集中的服务，建议依次关闭仲裁节点、副本节点、主节点。主要的操作步骤参考如下：

//客户端登录服务，注意，这里通过localhost登录，如果需要远程登录，必须先登录认证才行。
mongo --port 27017
//告知副本集说本机要下线
rs.stepDown()
//#切换到admin库
use admin
//关闭服务
db.shutdownServer()

通过主节点添加一个管理员帐号

只需要在主节点上添加用户，副本集会自动同步。

开启认证之前，创建超管用户：myroot，密码：123456

myrs:PRIMARY> use admin
switched to db admin
myrs:PRIMARY> db.createUser({user:"myroot",pwd:"123456",roles:["root"]})
Successfully added user: { "user" : "myroot", "roles" : [ "root" ] }

详细操作详见单实例环境的 添加用户和权限 的相关操作。https://www.cnblogs.com/sanduzxcvbnm/p/13963252.html

提示：

该步骤也可以在开启认证之后，但需要通过localhost登录才允许添加用户，用户数据也会自动同步到副本集。

后续再创建其他用户，都可以使用该超管用户创建。

创建副本集认证的key文件

第一步：生成一个key文件到当前文件夹中。

可以使用任何方法生成密钥文件。例如，以下操作使用openssl生成密码文件，然后使用chmod来更改文件权限，仅为文件所有者提供读取权限

[root@bobohost ~]# openssl rand -base64 90 -out ./mongo.keyfile
[root@bobohost ~]# chmod 400 ./mongo.keyfile
[root@bobohost ~]# ll mongo.keyfile
-r--------. 1 root root 122 8月  14 14:23 mongo.keyfile

提示：

所有副本集节点都必须要用同一份keyfile，一般是在一台机器上生成，然后拷贝到其他机器上，且必须

有读的权限，否则将来会报错： permissions on /mongodb/replica_sets/myrs_27017/mongo.keyfile are too open

一定要保证密钥文件一致，文件位置随便。但是为了方便查找，建议每台机器都放到一个固定的位置，都放到和配置文件一起的目录中。

这里将该文件分别拷贝到多个目录中：

[root@bobohost ~]# cp mongo.keyfile /home/mongodb/replica_sets/myrs_27017
[root@bobohost ~]# cp mongo.keyfile /home/mongodb/replica_sets/myrs_27018
[root@bobohost ~]# cp mongo.keyfile /home/mongodb/replica_sets/myrs_27019

修改配置文件指定keyfile

分别编辑几个服务的mongod.conf文件，添加相关内容：

# vim /home/mongodb/replica_sets/myrs_27017/mongod.conf
security:
  #KeyFile鉴权文件
  keyFile: /mongodb/replica_sets/myrs_27017/mongo.keyfile
  #开启认证方式运行
  authorization: enabled

注意每个服务的mongod.conf文件中mongo.keyfile的路径不一样

重新启动副本集

如果副本集是开启状态，则先分别关闭复本集中的每个mongod，从次节点开始。直到副本集的所有成员都离线，包括任何仲裁者。主节点必须是最后一个成员关闭以避免潜在的回滚。

#通过进程编号关闭三个节点
kill -2 54410
kill -2 54361
kill -2 54257

分别启动副本集节点：

/usr/bin/mongod -f /home/mongodb/replica_sets/myrs_27017/mongod.conf
/usr/bin/mongod -f /home/mongodb/replica_sets/myrs_27018/mongod.conf
/usr/bin/mongod -f /home/mongodb/replica_sets/myrs_27019/mongod.conf

在主节点上添加普通账号

#先用管理员账号登录
#切换到admin库
use admin
#管理员账号认证
db.auth("myroot","123456")
#切换到要认证的库
use articledb
#添加普通用户
db.createUser({user: "bobo", pwd: "123456", roles: ["readWrite"]})

重新连接，使用普通用户 bobo重新登录，查看数据。

注意：也要使用rs.status()命令查看副本集是否健康。