Rotar certificados
Cambia los certificados de un nodo sin reiniciarlo.
Cambia los certificados de un nodo sin reiniciarlo, antes de que caduquen o cuando sospechas que una clave se ha filtrado.
Requisitos
- Acceso a
teseladb adminen el nodo, o un usuario que pueda ejecutarrotateCertificates.
Certificado de la PKI del clúster
Shell
teseladb admin cert rotateEl nodo genera una clave y un certificado nuevos, firmados por la CA del clúster.
Certificados propios
Si el nodo usa tus ficheros (--tlsCertificateKeyFile), sustitúyelos en disco y pide al nodo que los vuelva a cargar:
JavaScript
db.adminCommand({ rotateCertificates: 1 });Comprobar
Las conexiones que se abren después de la rotación reciben el certificado nuevo, y las que ya estaban abiertas siguen funcionando con el anterior hasta que se cierran.
Problemas frecuentes
rotateCertificatesfalla conInvalidSSLConfiguration(140) porque un fichero no es válido. El mensaje nombra el fichero.