MongoDB安全之设置账户及密码-猿码集

1. MongoDB账户及密码管理

MongoDB是一个轻量级的非关系型数据库，采用BSON的数据格式存储数据，运行在可扩展的、基于内存的架构上，支持多种编程语言。MongoDB带有完善的权限管理机制，用户可以在启动MongoDB时添加-admin用户，然后使用mongo客户端进行操作。然而，admin用户在执行一些敏感操作时权限过大，需要创建普通用户，并给予合适的权限来实现更具体的数据管理。

1.1 创建用户

可以使用以下命令在mongo客户端创建新用户：


db.createUser({
           user: "yourusername",
           pwd: "yourpassword",
           roles: [
                     { role: "readWrite", db: "yourdatabase" }
                  ]
        })

注：要替换其中的yourusername, yourpassword和yourdatabase为自定义的用户名、密码和数据库名称。roles的设置表示将创建一个名为readWrite的角色，该角色允许用户读写，只能访问yourdatabase数据库。

1.2 用户授权

使用以下命令对用户进行授权：


db.grantRolesToUser("yourusername",[
                 { role: "readWrite", db: "yourdatabase" }
            ])

注：与创建用户相同，需要将yourusername, yourpassword和yourdatabase替换为实际的信息。grantRolesToUser命令将赋予用户readWrite角色。运行此命令后，用户将只能访问指定的数据库，并且只有读写权限。

1.3 用户信息修改和删除

可以使用以下命令修改用户的用户名和密码：


db.changeUserPassword("yourusername", "yournewpassword")
db.updateUser("yourusername",
               {
                 customData: { key: "value" },
                 roles: [
                   { role: "read", db: "yourdatabase" }
                 ]
               }
             )

删除用户：


db.dropUser("yourusername")

1.4 设置访问权限

使用以下命令限制用户的访问权限：


db.createRole( 
   { 
      role: "yourrole", 
      privileges: [ 
         { resource: { db: "yourdatabase", collection: "yourcollection" }, actions: [ "find", "update" ] },
         { resource: { db: "yourdatabase", collection: "yourcollection" }, actions: [ "insert" ] }
      ],
      roles: [
         { role: "readWrite", db: "yourdatabase" }
      ] 
   } 
)

注：上述命令创建了一个名为yourrole的角色，该角色将用户限制为只能在yourcollection集合上执行find、update和insert操作，使用readWrite权限在应用程序中进行读写操作。

2. 更安全的MongoDB

除了设置账号权限外，还有其他措施可以保护MongoDB的安全：

2.1 远程访问授权

为了防止未授权访问，可以使用mongod命令启动MongoDB，并明确指定要允许的远程主机或IP地址。如：

mongod --bind_ip yourremoteipaddress

如果需要允许多个IP，则使用逗号分隔它们：

mongod --bind_ip yourremoteipaddress1,yourremoteipaddress2,yourremoteipaddress3

2.2 SSL/TLS配置

SSL和TLS通常被用来加密MongoDB的通信流量，以保护传输中的数据。

为服务器颁发SSL证书。

要配置mongod以使用证书，需要设置mongod的net.ssl.mode参数为“requireSSL”。

mongod --sslMode requireSSL --sslPEMKeyFile /path/to/your/sslkey.pem --sslPEMKeyPassword yourpassword

注：上面的命令启动MongoDB并使用PEM格式的SSL证书和密码（如果使用者有密码保护）。

2.3 内部身份验证

MongoDB的内部身份验证提供了一种安全机制，以确保每个客户端都有相应的访问权限。

要启用内部身份验证，需要为mongod设置auth参数。

当用户连接到MongoDB时，客户端需要提供用户名和密码。客户端可以使用命令行工具，如mongo客户端，或支持MongoDB协议的客户端驱动程序来连接。

mongod --auth

注：这将启用MongoDB的内部身份验证。如果需要创建新用户并授权，请使用适当的mongo shell命令。

2.4 日志文件设置

默认情况下，MongoDB服务器将日志文件存储在/tmp目录中。但是，这样可能会使日志文件容易受到攻击。需要将mongod.conf中的systemLog.path参数设置为要存储日志文件的位置，例如：

systemLog: destination: file path: /var/log/mongo/mongod.log logAppend: true

这将使MongoDB服务器在/var/log/mongo/mongod.log文件中存储日志。

2.5 数据库备份

定期备份MongoDB数据库是非常有必要的，这可以保护数据免受意外故障和损坏。

使用mongodump命令备份MongoDB数据库。

可以使用其他工具自动备份MongoDB数据，并将其存储在云存储中，如Amazon S3或Azure Blob Storage。

mongodump --host mongodb.example.com --port 27017 --username user --password pass --out /backups/mongodb/

注：这将备份MongoDB数据库并将其存储在/backups/mongodb目录中。

3. 结论

MongoDB安全设置是任何MongoDB实现的核心组成部分。MongoDB的访问和身份验证设置确保了系统的保护和访问控制。在MongoDB服务器上实现这些简单但重要的安全措施可以为您的数据提供更好的保护，使其免受攻击和其他安全威胁。

MongoDB安全之设置账户及密码