今天休假在家，测试并搭建了一个replica set shard MongoDB鉴权集群。replica set shard 鉴权集群中文资料比较少，本文是个人笔记，同时也希望对后来者有所帮助。本文仅是搭建步骤和Q&A，用于实际工作中的使用查阅，阅读者需要有分布式集群的理论基础。
关键字：Replica-Set Shard 副本 分片 鉴权 KeyFile auth
MongoDB根据部署的不同，有两种添加鉴权的方式，分别是单实例的鉴权方式和KeyFile的鉴权方式。两种方式的共同点都是，先在没有鉴权的情况下创建超级用户，然后再以鉴权的方式重启实例。下面分别介绍这两种方式。
1 单实例的鉴权部署
这种方式比较简单，步骤如下：
1.1 启动MongoDB
mongod --logpath ./test.log -dbpath ./data --port 8765 --fork
1.2 添加超级用户
use admin
db.createUser({user:"cswuyg",pwd:"abc123",roles:[{role:"userAdminAnyDatabase",db:"admin"}]})
1.3 以auth参数重启MongoDB
mongod --logpath ./test.log -dbpath ./data --port 8765 --auth --fork
1.4 mongodb shell 登陆
#方式1： mongo --port 8765 -u 'cswuyg' -p 'abc123' --authenticationDatabase 'admin' #或者 #方式2： mongo --port 8765 #然后在mongo shell下执行： use admin db.auth('cswuyg', 'abc123')
1.5 创建普通用户
MongoDB的账号跟随DB，创建举例：
#以超级用户登陆之后，执行以下mongodb shell命令 use cswuyg db.createUser({'user':'cswuyg', pwd:'cswuyg', roles:['readWrite', 'dbAdmin']})
2 分布式的鉴权集群部署
我要搭建的集群含有两个shard；shard由replica set组成，replica set含有3个实例；mongodb config含有3个实例。如图所示：
下面介绍搭建步骤，两个副本中的六个mongodb实例的搭建雷同，三个配置实例的搭建也雷同，下面仅介绍不重复的内容：
2.1 安装openssl，使用openssl生成keyfile
openssl rand -base64 755 > mongodb-keyfile
2.2 搭建MongoDB副本
首先以无权限方式启动replica set，然后为replica set设置账号密码。
replica set A 需要启动三个MongoDB实例，下面的mongodb 配置文件以其中一个实例为例。
无鉴权启动配置config（set_one_mongod_17018.conf）：
storage: dbPath: "/home/ssd2/mongo_data/set_one_mongo17018" systemLog: destination: file path: "/home/ssd2/mongo_data/set_one_mongo17018.log" logAppend: true replication: oplogSizeMB: 2048 replSetName: "set_one" net: port: 17018 processManagement: fork: true setParameter: cursorTimeoutMillis: 20000
启动命令（start.sh）：
/home/ssd2/mongo-3.2.8-release/bin/mongod -f /home/ssd2/set_one_mongod_17018.conf #/home/ssd2/mongo-3.2.8-release/bin/mongod -f /home/ssd2//set_one_mongod_17018_auth.conf
以同样的方式再启动另外两个实例，然后配置副本集群：进入某个实例的mongo shell执行初始化：
rs.initiate({"_id" : "set_one", "members" : [{_id : 1, host: "host1:17018"}, {"_id": 2, "host": "host2:17018"}, {"_id": 3, "host" : "host3:17018"}]})
接着，mongo shell下创建超级用户：
db.createUser({user: 'cswuyg', pwd: cswuyg@home', roles:[{role:'root', db:'admin'}]})
db.createUser({user: "wuyg", pwd: "wuyg@home", roles: [{role:"userAdminAnyDatabase", db:"admin"}]})
至此 replica set A（副本A）处理完成。
再以同样的方式创建replica set B（副本B）
2.3 搭建config server
我没有使用replica set的方式搭建配置服务，所以各个单实例要独立设置账号密码。
无鉴权的启动配置config（config_27019.conf）：
storage: dbPath: "/home/work/mongo_data/config27019" systemLog: destination: file path: "/home/work/mongo_data/mongo27019.log" logAppend: true sharding: clusterRole: "configsvr" net: port: 27019 setParameter: cursorTimeoutMillis: 20000 processManagement: fork: true
启动命令（start.sh）：
#/home/work/mongo/bin/mongod -f /home/work/config_27019_auth.conf
/home/work/mongo/bin/mongod -f /home/work/config_27019.conf
启动之后，创建超级用户，在mongo shell下执行：
db.createUser({user: 'cswuyg', pwd: cswuyg@home', roles:[{role:'root', db:'admin'}]})
db.createUser({user: "wuyg", pwd: "wuyg@home", roles: [{role:"userAdminAnyDatabase", db:"admin"}]})
接着以同样的方式搭建另外两个config server。
2.4 搭建mongos
无鉴权启动配置config（mongos_27032.conf）：
sharding: configDB: "host1:27019,host2:27019,host3:27019" systemLog: destination: file path: "/home/work/mongo_data/mongos27032.log" net: port: 27032 processManagement: fork: true
启动命令（start.sh）：
#/home/work/mongo/bin/mongod -f /home/work/config_27019_auth.conf
/home/work/mongo/bin/mongod -f /home/work/config_27019.conf
在mongos下创建超级用户，mongo shell下执行：
db.createUser({user: 'cswuyg', pwd: cswuyg@home', roles:[{role:'root', db:'admin'}]})
db.createUser({user: "wuyg", pwd: "wuyg@home", roles: [{role:"userAdminAnyDatabase", db:"admin"}]})
如有多个APP，可以继续以同样的方式创建多个mongos服务。
2.5 所有mongod、mongos都以鉴权方式重启
注：必要的时候在mongod启动时，加上numactl --interleave=all 参数
下面列举下有鉴权的mongodb副本实例、mongodb配置服务实例、mongos实例的启动配置：
副本实例配置举例：
storage: dbPath: "/home/ssd2/mongo_data/set_one_mongo17018" systemLog: destination: file path: "/home/ssd2/mongo_data/set_one_mongo17018.log" logAppend: true replication: oplogSizeMB: 2048 replSetName: "set_one" net: port: 17018 security: keyFile: "/home/ssd2/mongodb-keyfile" authorization: "enabled" processManagement: fork: true setParameter: cursorTimeoutMillis: 20000
config server配置举例：
storage: dbPath: "/home/work/mongo_data/config27019" systemLog: destination: file path: "/home/work/mongo_data/mongo27019.log" logAppend: true sharding: clusterRole: "configsvr" net: port: 27019 setParameter: cursorTimeoutMillis: 20000 security: keyFile: "/home/work/mongodb-keyfile" authorization: "enabled" processManagement: fork: true
mongos 配置举例：
sharding: configDB: "host1:27019,host2:27019,host3:27019" systemLog: destination: file path: "/home/work/mongo_data/mongos27032.log" net: port: 27032 processManagement: fork: true security: keyFile: "/home/work/mongodb-keyfile" authorization: "enabled"
启动shell，参见上面的start.sh.
2.6 检查鉴权集群效果
#使用超级权限登陆 mongo --port 27031 -u zhangsan -p zhangsan_password #新建一个collection & 写入数据 & 设置分布式collection use cswuyg db.cswuyg.save({'a':'a'}) use admin db.runCommand({"enablesharding":"cswuyg"}) db.runCommand({"shardcollection":"cswuyg.cswuyg","key":{"_id":1}}) #新建用户 #使用超级用户权限登陆，然后 use cswuyg db.createUser({'user':'zhangsan', pwd:'zhangsan_password', roles:['readWrite', 'dbAdmin']}) #测试新用户的使用： mongo --port 27031 -u zhangsan -p zhangsan_password #测试读写 db.coll.find() db.coll.save({'a':'1'})
3 Q&A
3.1 为什么副本实例、配置实例也要单独创建账号密码？
答：因为副本实例、配置实例设置的账号密码只是自己的账号密码，存储在本地，而从mongos设置的集群的账号密码存储在config server。如果直接从mongos上设置账号密码，那么副本实例、配置实例将会因为没有账号而无法做任何运维操作。
3.2 权限最大的超级用户是哪个？
答：root，创建方式：db.createUser({user: 'cswuyg', pwd: cswuyg@home', roles:[{role:'root', db:'admin'}]})
3.3 如果config server忘记单独添加权限，怎么办？
答：我们有三个config server，要逐个处理；首先停掉第一个config server，然后使用它的磁盘文件，以非鉴权方式启动，接着创建超级用户，最后再以鉴权方式重启；其它两个config server也以同样的方式逐一处理。另外，如果是 replica set 忘记单独添加权限，可以首先新加一个有单独权限的replica set，然后再把旧的replica set删除掉，在删除过程中可能需要移动DB的Primary所在：db.runCommand( { movePrimary : "monitor_check", to : "set_one" } )；然后，再去掉旧的副本 db.runCommand( { removeShard : "old" } )。
4 参考资料
参考资料1，单实例鉴权：https://docs.mongodb.com/manual/tutorial/enable-authentication/
参考资料2，集群鉴权：https://docs.mongodb.com/v3.2/tutorial/enforce-keyfile-access-control-in-existing-replica-set/
搭建无鉴权的replica set shard集群参见：http://www.cnblogs.com/cswuyg/p/4356637.html
