如何动态生成mongod所需的证书与私钥拼接文件（规避静态文件更新延迟导致的服务中断问题）

嘿，这个场景我之前部署MongoDB+Let's Encrypt的时候也踩过坑，给你几个实际能用的解决方案，按需选：

方案一：用命名管道（FIFO）实现实时动态拼接 #

命名管道的好处是没有静态文件的更新间隙，每次mongod读取它时，都会实时拼接最新的证书和私钥内容，完美适配Certbot的symlink更新机制。

步骤如下：

1. 创建专用的FIFO文件（选一个mongod能访问的路径，比如/etc/mongo）：

   sudo mkdir -p /etc/mongo
   sudo mkfifo /etc/mongo/mongo-combined.pem
   

2. 设置严格的权限（私钥不能随便让其他用户读）：

   sudo chown mongodb:mongodb /etc/mongo/mongo-combined.pem
   sudo chmod 600 /etc/mongo/mongo-combined.pem
   

3. 启动一个后台服务，持续把最新的拼接内容写入FIFO：
   创建systemd服务文件/etc/systemd/system/mongo-cert-feed.service：

   [Unit]
   Description=动态生成MongoDB所需的合并证书文件
   After=network.target certbot.service
   
   [Service]
   User=mongodb
   Group=mongodb
   # 每天重新拼接一次（Certbot每90天更新，频率足够），确保mongod读取到最新内容
   ExecStart=/bin/sh -c 'while true; do cat /etc/letsencrypt/live/$(hostname -f)/fullchain.pem /etc/letsencrypt/live/$(hostname -f)/privkey.pem; sleep 86400; done > /etc/mongo/mongo-combined.pem'
   Restart=always
   
   [Install]
   WantedBy=multi-user.target
   

   然后启用并启动服务：

   sudo systemctl daemon-reload
   sudo systemctl enable --now mongo-cert-feed.service
   

4. 修改mongod的配置文件，指定这个FIFO作为certificateKeyFile：

   net:
     ssl:
       mode: requireSSL
       certificateKeyFile: /etc/mongo/mongo-combined.pem
   

   重启mongod生效。

注意：如果你的MongoDB版本低于4.2，它不支持动态重载证书，证书更新后还是需要重启mongod；4.2+版本可以发送kill -SIGUSR1 $(pidof mongod)让它重新加载证书。

方案二：用inotify监听证书更新，自动拼接+原子替换（无重启） #

这个方案适合MongoDB 4.2+版本，能在Certbot更新证书后自动触发证书拼接+mongod动态重载，完全不需要人工干预，也不会有文件更新的间隙。

步骤如下：

1. 安装inotify-tools（用来监听文件变化）：

   sudo apt install inotify-tools  # Debian/Ubuntu
   # 或者
   sudo dnf install inotify-tools  # RHEL/CentOS
   

2. 编写自动更新脚本/usr/local/bin/update-mongo-cert.sh：

   #!/bin/bash
   set -e
   
   # 配置路径
   DOMAIN=$(hostname -f)
   CERT_DIR="/etc/letsencrypt/live/${DOMAIN}"
   OUTPUT_DIR="/run/mongo"  # 用run目录，重启后自动清空，避免旧文件残留
   OUTPUT_FILE="${OUTPUT_DIR}/mongo-combined.pem"
   
   # 确保输出目录存在并设置权限
   mkdir -p "${OUTPUT_DIR}"
   chown mongodb:mongodb "${OUTPUT_DIR}"
   chmod 700 "${OUTPUT_DIR}"
   
   # 初始生成合并证书
   cat "${CERT_DIR}/fullchain.pem" "${CERT_DIR}/privkey.pem" > "${OUTPUT_FILE}.tmp"
   mv "${OUTPUT_FILE}.tmp" "${OUTPUT_FILE}"
   chmod 600 "${OUTPUT_FILE}"
   
   # 监听Certbot证书目录的变化（symlink更新、文件替换）
   inotifywait -m -e modify,move,create,delete "${CERT_DIR}" | while read -r _ _ _; do
       # 原子更新：先写临时文件再替换，避免mongod读取到不完整的内容
       cat "${CERT_DIR}/fullchain.pem" "${CERT_DIR}/privkey.pem" > "${OUTPUT_FILE}.tmp"
       mv "${OUTPUT_FILE}.tmp" "${OUTPUT_FILE}"
       chmod 600 "${OUTPUT_FILE}"
   
       # 发送SIGUSR1信号让mongod重新加载证书（MongoDB 4.2+支持）
       if pid=$(pidof mongod); then
           kill -SIGUSR1 "${pid}"
           echo "MongoDB证书已重新加载"
       fi
   done
   

3. 给脚本加执行权限：

   sudo chmod +x /usr/local/bin/update-mongo-cert.sh
   

4. 创建systemd服务让脚本后台运行：
   创建/etc/systemd/system/mongo-cert-updater.service：

   [Unit]
   Description=监听Let's Encrypt证书更新，自动维护MongoDB合并证书
   After=network.target certbot.service
   
   [Service]
   User=root
   ExecStart=/usr/local/bin/update-mongo-cert.sh
   Restart=always
   
   [Install]
   WantedBy=multi-user.target
   

   启用并启动服务：

   sudo systemctl daemon-reload
   sudo systemctl enable --now mongo-cert-updater.service
   

5. 修改mongod配置文件指向这个生成的文件，重启mongod即可。

这个方案的核心是原子替换文件（先写tmp再mv），完全避免了静态文件更新时的间隙，再结合mongod的动态重载，实现零停机更新证书。

方案三：结合systemd预启动命令+Certbot钩子（简单粗暴） #

如果你的MongoDB版本较低，不支持动态重载证书，或者不想搞复杂的监听脚本，这个方案最省心：

1. 修改mongod的systemd服务文件，在启动前自动生成合并证书：
   编辑/etc/systemd/system/mongod.service.d/override.conf（用systemctl edit mongod打开）：

   [Service]
   ExecStartPre=/bin/sh -c 'cat /etc/letsencrypt/live/$(hostname -f)/fullchain.pem /etc/letsencrypt/live/$(hostname -f)/privkey.pem > /run/mongo/mongo-combined.pem'
   ExecStartPre=/bin/chmod 600 /run/mongo/mongo-combined.pem
   

   重载systemd配置：

   sudo systemctl daemon-reload
   

2. 给Certbot添加renew钩子，更新证书后自动重启mongod：
   创建/etc/letsencrypt/renewal-hooks/post/mongo-restart.sh：

   #!/bin/bash
   sudo systemctl restart mongod
   

   加执行权限：

   sudo chmod +x /etc/letsencrypt/renewal-hooks/post/mongo-restart.sh
   

3. 修改mongod配置文件指向/run/mongo/mongo-combined.pem，重启mongod生效。

这个方案的缺点是每次证书更新会重启mongod，但胜在配置简单，适合对服务可用性要求不那么高的场景。

备注：内容来源于stack exchange，提问作者grenade