MongoDB登录安全篇-猿码集

1. MongoDB登录安全概述

MongoDB是一个广泛使用的非关系型数据库，由于其高效性能和易用性等特点，在各个领域得到了广泛应用。但是，随着MongoDB使用的增加，相应的安全问题也变得越来越重要。作为MongoDB数据库管理员，对MongoDB安全有一定了解，可以有效保护数据库的数据安全性和完整性。因此，本篇文章主要讨论MongoDB登录安全问题及相关解决方案。

2. MongoDB登录相关概念解析

2.1 用户角色

MongoDB中的用户角色分为系统内置角色和自定义角色，系统内置角色包括：root、readWrite、read等，分别对应MongoDB的不同操作权限，自定义角色可由管理员根据需求定义。


//查看角色列表
db.runCommand({rolesInfo: 1})

2.2 认证方式

MongoDB支持多种认证方式，如MONGODB-CR、SCRAM-SHA-1、SCRAM-SHA-256等，其中MONGODB-CR是MongoDB的默认认证方式，但是由于其较弱的安全性，建议使用更为安全的SCRAM-SHA-1和SCRAM-SHA-256。

2.3 登录方式

在MongoDB中，用户可以通过密码、证书等多种方式进行登录。其中，密码方式需要提供用户名和密码，证书方式在生成证书后根据证书进行登录，较为安全。

3. MongoDB登录安全问题及解决方案

3.1 密码安全

在MongoDB中，密码是登录的重要凭证，因此在设置密码时需要注意以下几点：

3.1.1 密码强度：密码强度是密码安全的重要因素，强的密码可以有效防止密码被攻破。在设置密码时，应遵循“越长越好、越复杂越好”的原则，不要使用常见的弱密码。

3.1.2 密码存储：密码存储也是密码安全的关键。在MongoDB中，密码通常采用hash算法进行加密存储，但是由于hash算法不可逆，一旦被攻破，密码就很容易被窃取。因此，建议在存储密码时，对密码进行加盐处理，增加密码的复杂度和安全性。


//创建用户并设置密码
use mydb
db.createUser(
  {
    user: "myuser",
    pwd: "mypwd",
    roles: [ "readWrite", "dbAdmin" ],
    passwordDigestor : "server"
  }
)

3.2 认证方式安全

为保证MongoDB的安全稳定运行，推荐使用SCRAM-SHA-256或SCRAM-SHA-1认证方式。这两种认证方式都可以在客户端对密码进行hash运算。使用hash算法可以有效避免密码被窃取，保障数据的安全。

//启用SCRAM-SHA-256认证 security: authorization: enabled authenticationMechanisms: SCRAM-SHA-256

3.3 登录方式安全

除了使用密码进行登录之外，还可以使用证书进行登录。证书登录可以有效增强安全性，因为根据证书进行登录是基于公钥密码体制的，在此体制下，只有用户持有私钥才能进行登录。因此，即使口令被攻破，也不能通过指定密码直接登录。

4. MongoDB登录安全实践

以下是在MongoDB中设置登录安全的实践步骤：

4.1 创建管理员用户

在MongoDB中，使用系统内置角色的用户具有数据库管理员的全部权限。设置管理员用户步骤如下：


//创建管理员用户
use admin;
db.createUser(
    {
        user: "admin-user",
        pwd: "admin-pwd",
        roles: [
            { role: "root", db: "admin" }
        ]
    }
)

4.2 启用认证方式

MongoDB默认不启用认证方式，需要手动启用：

//启用认证方式 security: authorization: enabled

4.3 定义自定义角色

管理员可以根据需求定义自定义角色，自定义角色需要访问的数据库及权限，可以限制用户的操作范围。


//定义并授权自定义角色
use testdb;
db.createRole(
    {
        role: "testRole",
        privileges: [
            {
                resource: { db: "testdb", collection: "testCollection" },
                actions: [ "find", "insert", "remove" ]
            }
        ],
        roles: [
            { role: "read", db: "testdb" }
        ]
    }
);

4.4 创建普通用户

管理员可以创建普通用户并授予对应的角色，普通用户登录后只能操作角色所允许的数据库和集合。


//创建普通用户
use testdb;
db.createUser(
    {
        user: "testUser",
        pwd: "testPwd",
        roles: ["testRole"]
    }
);

4.5 生成证书并进行证书登录

管理员可以生成证书，并通过证书登录MongoDB。在证书登录时，MongoDB会验证用户的证书的真实性，如果不符合要求则无法登录。证书登录的步骤如下：

//步骤1：安装openssl工具 yum install openssl -y //步骤2：生成CA证书 openssl genrsa -out ca.key 2048 openssl req -new -x509 -days 365 -key ca.key -out ca.crt -subj "/C=CN/ST=Beijing/L=Beijing/O=MongoDB/OU=MongoDB/CN=MongoDB" //步骤3：生成服务器证书 mkdir -p /etc/mongodb/certs cd /etc/mongodb/certs/ openssl genrsa -out server.key 2048 openssl req -new -out server.csr -key server.key -subj "/C=CN/ST=Beijing/L=Beijing/O=MongoDB/OU=MongoDB/CN=mongodb" openssl x509 -req -extensions SAN -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt //步骤4：启用证书登录 security: clusterAuthMode: x509 ssl: mode: requireSSL PEMKeyFile: /etc/mongodb/certs/server.crt PEMKeyPassword: password CAFile: /etc/mongodb/certs/ca.crt

5. 总结

在MongoDB中，登录安全至关重要，由于MongoDB的高性能和易用性，它成为各个领域广泛使用的非关系型数据库。但是，随着MongoDB使用的增加，对它的安全保护也变得越来越重要。为了保证MongoDB的正常运行，我们要加强安全意识，采取相应的措施，如设置密码强度、合理存储密码、启用安全认证认证以及定义自定义角色等，以保障数据的完整性和安全性。

MongoDB登录安全篇