MongoDB 集群安全及权限管理实践-JavaScript中文网-JavaScript教程资源分享门户

前言

MongoDB 是当下最流行的 NoSQL 数据库之一，它以其极高的读写性能和灵活的数据存储结构受到了许多开发者的青睐。在大规模应用场景下，MongoDB 集群已经成为了分布式存储的首选方案。然而，由于其开源性质以及默认弱化的安全策略，MongoDB 集群安全防护不足仍然受到了一些关注。本文将为大家介绍 MongoDB 集群的安全策略和权限管理，帮助您构建更为健全的应用系统。

MongoDB 集群安全基础

端口和服务

在部署 MongoDB 集群时，通常会有三个服务端口需要开放：

27017 端口，该端口用于 MongoDB 进行通信和数据交换。
27018 端口，该端口是使用 --port 指定的备份端口，用于支持副本集的备份和恢复操作。
27019 端口，该端口是使用 --port 指定的配置端口，用于支持副本集的配置管理操作。

根据部署需求和集群规模，以上各端口可以选择开放一个，也可以全都开放。一般情况下，我们建议您将端口号修改为不可预测的非默认端口，以增强安全性。例如：

mongod --port 38727

认证和授权

MongoDB 通过认证和授权机制来实现对集群的安全控制。认证和授权需要在管理员权限下设置，才能够生效。

为了进行认证，需要创建至少一个管理员账户并启用 --auth。在启用认证后，所有用户或者客户端程序的操作都需要一个合法的认证身份。每个身份由用户名和密码组成，而由此引申出来的是用户权限管理，也就是授权。

常见的授权模式有以下两种：

用户级别认证：只能获取某个数据库下的权限，例如：

use myDatabase;
db.auth('admin', 'password');

该用户只能进行 myDatabase 下的增、删、改、查操作。

集群级别认证：可以获取所有数据库下的权限，例如：

use admin;
db.auth('admin', 'password');

该用户拥有所有数据库中的增、删、改、查和管理权限。

一般情况下，我们建议对 MongoDB 集群进行集群级别认证和授权，确保所有数据库和集合的开发者都可以拥有管理权限。

数据加密

MongoDB 支持在传输过程中对数据进行加密。默认情况下使用的协议是明文传输，但是 MongoDB 支持通过 Transport Layer Security (TLS) 或者 Secure Sockets Layer (SSL) 来实现加密传输。

如果您希望使用 TLS/SSL 方法，以下是一些常用的 TLS/SSL 设置示例：

mongod --sslMode requireSSL --sslPEMKeyFile /path/to/server.pem --sslCAFile /path/to/ca.pem

mongod --sslMode allowSSL --sslPEMKeyFile /path/to/server.pem --sslPEMKeyPassword "password" --sslCAFile /path/to/ca.pem

MongoDB 集群权限管理实践

现在，我们将介绍几个重要的节点和关键操作，这些操作可以大大增强 MongoDB 集群的安全性和稳定性。

配置管理节点

MongoDB 集群的配置文件中需要存储一些关键信息，例如配置副本集的节点列表，还需要设置集群的安全认证信息以及数据加密方式等。为了方便维护和管理，不建议将这些配置文件分散在各个节点上，而应该将其独立出来，形成一个专用的节点，即为配置管理节点（replicaSet）。

以下是 MongoDB 配置管理节点设置示例：

// javascriptcn.com 代码示例
rs.initiate({
  "_id": "myconfnode",
  "configsvr": true,
  "members": [
    {
      "_id": 0,
      "host": "confnode1:27019"
    },
    {
      "_id": 1,
      "host": "confnode2:27019"
    },
    {
      "_id": 2,
      "host": "confnode3:27019"
    }
  ]
})

防火墙

MongoDB 运行在 Linux 平台上，因此可以使用 Linux 中的防火墙来控制入站和出站流量。以下是一个 iptables 的防火墙规则示例：

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 27017 -j ACCEPT

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 27018 -j ACCEPT

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 27019 -j ACCEPT

iptables -P INPUT DROP

避免暴露敏感信息

MongoDB 集群中有一些敏感信息不应该直接暴露在客户端上，例如配置节点的信息、用户名密码等。一般来说，这些信息应该储存在彼此独立、权限可控的环境中，并通过必要的加密手段来进行保护，在客户端中只使用加密的信息。一个比较好的解决方案是将这些配置信息放在独立的文件中进行储存，并通过密钥对文件进行加密。

以下是使用加密配置文件的示例：

// javascriptcn.com 代码示例
const crypto = require('crypto');
const fs = require('fs');

let config = require('./config.json');

let key = process.env.ENCRYPTION_KEY;

let algorithm = 'aes256';

let cipher = crypto.createCipher(algorithm, key);

let encrypted = cipher.update(JSON.stringify(config), 'utf8', 'hex') + cipher.final('hex');

fs.writeFileSync('config.json.enc', encrypted, 'utf8');

// javascriptcn.com 代码示例
const crypto = require('crypto');
const fs = require('fs');

let key = process.env.ENCRYPTION_KEY;

let algorithm = 'aes256';

let encrypted = fs.readFileSync('./config.json.enc', 'utf8');

let decipher = crypto.createDecipher(algorithm, key);

let decrypted = decipher.update(encrypted, 'hex', 'utf8') + decipher.final('utf8');

let config = JSON.parse(decrypted);

console.log(config);

日志记录

安全日志是防范安全攻击的有效手段之一，可以保存安全事件并帮助管理员及时发现和响应安全威胁。在 MongoDB 集群中，日志记录配置可以通过指定 systemLog 数组的各个属性来进行定义，其中包括指定日志记录级别、文件位置和文件大小等。

以下是一个日志记录配置示例：

mongod --logpath /var/log/mongodb/mongod.log --logappend --logRotate reopen --syslog --syslogFacility local0 --syslogSeverity info

总结

在 MongoDB 集群中，安全防护措施的选择和实施涉及到许多方面，包括认证、授权、网络加密以及防火墙等。我们建议您在使用 MongoDB 集群时，遵循最佳实践，进行适当的安全配置，并对不同的节点进行合理的权限管理。

来源：JavaScript中文网，转载请注明来源 https://www.javascriptcn.com/post/64fad816f6b2d6eab31a3f21