Kubernetes部署MongoDB分布式集群教程-Golang-PHP中文网

kubernetes 上部署「真正分布式」mongodb 集群不能仅靠 statefulset + headless service 实现单集群副本集，必须通过 mongodb kubernetes operator 在多集群架构（中央集群 + 成员集群）中编排 mongodbmulticluster 资源，依赖 istio 多主服务网格实现跨集群 dns 解析与 mtls 通信，并由 cert-manager 统一签发覆盖全集群域名的证书，否则无法达成跨区域高可用与灾备能力。

kubernetes部署mongodb分布式集群教程

直接说结论：Kubernetes 上部署「真正分布式」的 MongoDB 集群，不能只靠 StatefulSet + Headless Service 拉起 3 个 Pod 就算完事——那只是单集群副本集，不是跨区域、高可用、可灾备的分布式集群。真正的分布式部署必须引入多集群编排能力、跨网络服务发现和 Operator 级别的生命周期控制。

用 StatefulSet 部署副本集为什么不够“分布式”

常见错误是把以下 YAML 当成“分布式集群”部署成功：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: mongodb
spec:
  serviceName: mongodb
  replicas: 3
  # ... 省略 volumeClaimTemplates 和 container 定义

这只能在单个 Kubernetes 集群内形成副本集，所有节点共享同一套网络平面和 etcd。一旦该集群整体故障（如机房断电、网络分区），整个 MongoDB 就不可用。

Kubernetes Skills

针对 Kubernetes 仪表板和 Web UI 的浏览器自动化。适用于与 Kubernetes Dashboard、Grafana、ArgoCD UI 或其他 Web 界面交互。需要设置 MCP_BROWSER_ENABLED=true。

下载

所有 Pod 的 DNS 名称形如 mongodb-0.mongodb.default.svc.cluster.local，无法被其他集群解析
没有跨集群 TLS 证书信任链，mongos 或客户端无法安全连接远端成员
rs.add() 手动添加远程节点会失败，因为默认不开启 --bind_ip_all 且防火墙/Service Mesh 不放行
副本集状态（rs.status()）里看不到其他集群的节点，members[n].stateStr 长期为 OTHER 或 DOWN

必须部署 MongoDB Kubernetes Operator 而非裸 YAML

Operator 是唯一能协调多集群 MongoDB 资源的控制器。裸 StatefulSet 无法处理：MongoDBMultiCluster 资源创建、跨集群 TLS 证书同步、自动故障转移触发、灾难恢复流程（kubectl mongodb multicluster recover）。

Operator 必须部署在「中央集群」（通常叫 cluster-0），它通过 kubeconfig 文件访问其他集群上下文（${K8S_CLUSTER_1_CONTEXT_NAME}）
你需要提前设置好三个环境变量：K8S_CLUSTER_0_CONTEXT_NAME、K8S_CLUSTER_1_CONTEXT_NAME、K8S_CLUSTER_2_CONTEXT_NAME，否则 MongoDBMultiCluster 无法调度
Operator 自身依赖 cert-manager 发放通配证书，DNS 名必须包含所有集群的命名空间 FQDN，例如：*.mongodb.svc.cluster.local 和 *.mongodb.svc.cluster.local（注意：每个集群需独立配置或使用全局 DNS）
不要跳过 install_istio_separate_network 脚本——Istio 多主模式是让 mongodb-0.mongo-replicaset.svc.cluster.local 在 cluster-1 中也能解析到 cluster-0 的 Pod IP 的关键

跨集群 DNS 解析失败时先查这几个点

现象：mongosh --host "mongodb-0.mongo-replicaset.svc.cluster.local:27017" 连不上，或 rs.status().members 显示远程节点状态异常。

确认 Istio 的 ServiceEntry 和 VirtualService 已在每个集群中应用，且指向的是目标集群的 Headless Service 名称（不是 Pod IP）
检查 cert-manager 是否为所有集群生成了同 CA 签发的证书，Secret 名是否一致（如 cert-prefix-mdb-cert），且被 MongoDB 容器挂载进 /var/lib/mongodb-certificates/
运行 kubectl mongodb multicluster status --context=${K8S_CLUSTER_0_CONTEXT_NAME}，输出中 Phase 必须是 Ready，否则后续资源不会生效
别忽略 mongodb-kubernetes-appdb ServiceAccount 的 imagePullSecrets ——如果私有镜像仓库鉴权失败，Pod 会卡在 Pending，导致 DNS 记录根本没注册

最易被忽略的是证书域名覆盖范围和 Istio 多主网格的 mTLS 兼容性：哪怕所有 YAML 都 apply 成功，只要 mongodb-1.mongo-replicaset.svc.cluster.local 在 cluster-0 中 nslookup 不通，或者 openssl s_client -connect ... -servername ... 报 CN mismatch，整个分布式集群就处于“假在线”状态——看着都在跑，实际无法选举、无法同步 oplog。