【MongoDB】安全与权限管理 —— 用户认证、角色权限、SSL 加密

🛡️ MongoDB之安全与权限管理 ------ 用户认证、角色权限、SSL 加密

🎯 引言 & 学习目标

各位同学好呀！今天我们来聊一个严肃又重要的话题------MongoDB 安全与权限管理。毕竟谁也不想自家数据库被人"一键删库跑路"，对吧？😄

🎯 学习目标：

掌握 MongoDB 用户认证机制（SCRAM-SHA 系列）
理解角色权限模型的设计思想
实战配置 SSL/TLS 加密通信
熟悉审计日志与防火墙设置
应对常见安全攻击手段及防护措施

话不多说，让我们开启今天的"安全之旅"吧！

🔐 一、用户认证体系详解

① SCRAM 认证协议简介

SCRAM（Salted Challenge Response Authentication Mechanism）是一种基于挑战-响应的安全认证机制，目前主流版本包括：

SCRAM-SHA-1（已弃用，不推荐）
SCRAM-SHA-256（当前标准）

👉 核心优势：

密码不会在网络中明文传输
每次登录都会生成不同的随机盐值，防止重放攻击

② 创建管理员账户

javascript 复制代码

// 切换到 admin 数据库
use admin;

// 创建 root 用户（拥有最高权限）
db.createUser({
  user: "adminUser",
  pwd: "strongPassword123!",
  roles: [{ role: "root", db: "admin" }]
});

⚠️ 注意事项：

生产环境中密码必须足够复杂（建议至少 12 位，混合字母数字特殊字符）
不要把账号密码硬编码在代码里！

③ 启用身份验证模式

修改配置文件 /etc/mongod.conf：

yaml 复制代码

security:
  authorization: enabled

重启服务使配置生效：

bash 复制代码

sudo systemctl restart mongod

之后每次连接都需要指定用户名和密码：

bash 复制代码

mongo -u adminUser -p strongPassword123! --authenticationDatabase admin

👮‍♂️ 二、角色权限模型深度剖析

① 内置角色一览表

角色名称	权限范围	适用场景
read	只读	数据分析师
readWrite	读写	应用程序
dbAdmin	数据库管理	DBA
userAdmin	用户管理	权限管理员
clusterAdmin	整个集群管理	运维工程师
root	超级管理员	系统最高权限持有者

② 自定义角色示例

假设我们要给开发团队分配有限的操作权限：

javascript 复制代码

use myAppDB;

db.createRole({
  role: "devTeam",
  privileges: [
    {
      resource: { db: "myAppDB", collection: "" },
      actions: ["find", "insert", "update", "remove"]
    }
  ],
  roles: []
});

// 绑定用户
db.createUser({
  user: "developer",
  pwd: "devPass456!",
  roles: [{ role: "devTeam", db: "myAppDB" }]
});

🎯 设计原则：最小权限原则，杜绝越权操作！

🔒 三、SSL/TLS 加密通信配置

① 生成证书

使用 OpenSSL 工具链创建 CA 和服务器证书：

bash 复制代码

# 1. 创建私钥
openssl genrsa -out ca.key 2048

# 2. 生成自签名根证书
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

# 3. 生成服务器私钥
openssl genrsa -out server.key 2048

# 4. 生成 CSR 请求
openssl req -new -key server.key -out server.csr

# 5. 签发服务器证书
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365

② 修改 MongoDB 配置启用 TLS

编辑 /etc/mongod.conf：

yaml 复制代码

net:
  port: 27017
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongodb/server.pem
    CAFile: /etc/ssl/mongodb/ca.crt

其中 server.pem 是合并后的文件：

bash 复制代码

cat server.crt server.key > /etc/ssl/mongodb/server.pem
chmod 600 /etc/ssl/mongodb/server.pem

③ 客户端连接测试

bash 复制代码

mongo --host hostname --ssl --sslCAFile /path/to/ca.crt

🔐 温馨提示：生产环境强烈建议购买权威机构签发的商业证书！

📜 四、审计日志功能配置

① 开启审计

MongoDB Enterprise 版支持细粒度审计功能，在配置文件中添加：

yaml 复制代码

auditLog:
  destination: file
  format: JSON
  path: /var/log/mongodb/audit.log
  filter: '{ atype: { $in: ["authCheck", "createCollection"] } }'

② 日志样例解读

json 复制代码

{
  "atype": "authCheck",
  "ts": { "$date": "2025-04-05T12:00:00Z" },
  "local": { "ip": "192.168.1.100", "port": 54321 },
  "remote": { "ip": "10.0.0.5", "port": 27017 },
  "users": [{ "user": "alice", "db": "test" }],
  "roles": [{ "role": "readWrite", "db": "test" }],
  "result": 0
}

🔍 关键字段说明：

atype: 操作类型
ts: 时间戳
users: 当前操作用户
result: 执行结果（0 表示成功）

🛡️ 五、常见攻击手段与防御策略

① SQL 注入式攻击（NoSQL Injection）

❌ 错误示范：

javascript 复制代码

const userInput = req.query.username;
db.users.find({ username: userInput }); // 危险！

✅ 正确做法：

javascript 复制代码

const safeInput = req.query.username.replace(/[.$]/g, '');
db.users.find({ username: safeInput });

② 权限提升漏洞防范

定期审查用户权限，禁用不必要的内置角色，例如：

javascript 复制代码

db.dropRole("backup");

③ 网络层面加固

仅允许特定 IP 白名单访问
配置 iptables 规则：

bash 复制代码

iptables -A INPUT -p tcp --dport 27017 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 27017 -j DROP

❓ 六、七大高频面试题

编号	问题
Q1	MongoDB 支持哪几种认证机制？它们的区别是什么？
Q2	如何撤销某用户的全部权限？
Q3	SSL 模式有哪些可选项？各自用途是什么？
Q4	审计日志默认保存在哪里？如何导出分析？
Q5	什么是 RBAC？MongoDB 是如何实现它的？
Q6	如果发现可疑连接尝试该怎么办？
Q7	MongoDB Atlas 提供了哪些开箱即用的安全特性？

💡 答题要点已在正文详细展开，记得回顾哦~

📊 七、表格总结：安全等级自查清单

安全项	状态 ✅/❌	建议改进措施
是否启用认证		若未启用立即补上
是否使用强密码		设置复杂密码 + 定期更换
是否开启 SSL		生产必配
是否限制网络入口		使用白名单或 VPC 私有网络
是否开启审计日志		至少保留最近 90 天
是否定期备份		每日增量 + 每周全量
是否监控异常行为		结合 Prometheus/Grafana 告警系统

🧾 八、结语 & 推荐资源

恭喜你学完这一章！现在你应该具备基本的 MongoDB 安全运维能力了。记住一句话："安全无小事，细节决定成败。"

📚 推荐进一步阅读：

MongoDB Security Checklist
OWASP Top 10 for NoSQL Databases
《MongoDB 运维实战》第 9 章 - 安全加固实践

咱们下节课见，继续保持学习热情哟～🔥