MongoDB开启安全认证

爱被打了一巴掌 2022-05-29 02:21 462阅读 0赞

## MongoDB开启安全认证 ##

### 注意 ###

*  对MongoDB部署启用访问控制会强制执行身份验证，要求用户识别自己。当访问启用了访问控制的MongoDB部署时，用户只能执行由其角色确定的操作。
 *  启用访问控制后，请确保在admin数据库中拥有userAdmin或userAdminAnyDatabase角色的用户。该用户可以管理用户和角色

### 未开启复制集的实例 ###

以下过程首先将用户管理员添加到运行无访问控制的MongoDB实例，然后启用访问控制。

#### 启动MongoDB ####

#### 连接到实例 ####

*  如：

mongo --port=27017

#### 创建用户管理员 ####

*  在admin数据库中添加具有userAdminAnyDatabase角色的用户。例如：

use admin
    db.createUser(
      { user: "myUserAdmin", pwd: "abc123", roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
      }
    )

然后断开连接

#### 重新启动具有访问控制的MongoDB实例 ####

*  使用–auth命令行选项重新启动mongod实例，如果使用配置文件，则使用security.authorization设置。例如：

mongod --auth --port 27017

或者使用配置文件，增加参数：

security:
      authorization: enabled //冒号后面需要空一格

#### 以用户管理员身份进行连接和验证 ####

*  在连接期间进行身份验证，例如：

mongo --port 27017 -u "myUserAdmin" -p "abc123" --authenticationDatabase "admin"

*  连接后验证，例如：

use admin
    db.auth("myUserAdmin", "abc123" )

*  创建用户的数据库是该用户的身份验证数据库。虽然用户将对该数据库进行身份验证，但用户可以在其他数据库中担任角色；即用户的认证数据库不限制用户的特权。

### 开启复制集的实例 ###

在副本集中执行密钥文件访问控制

1.  对于成员的内部认证，MongoDB可以使用密钥文件，密钥文件的内容作为成员的共享密码。密钥长度必须在6到1024个字符之间，并且只能包含base64集合中的字符
2.  密钥文件的内容在所有相互连接的mongod和mongos实例上必须相同。您必须将密钥文件存储在副本集的每个成员上。
3.  执行内部认证也强制执行用户访问控制
4.  密钥文件是最低限度的安全形式，最适用于测试或开发环境。

注意：执行访问控制的以下过程需要停止mongod服务

#### 创建一个密钥文件 ####

*  使用密钥文件身份验证，副本集中的每个mongod实例使用密钥文件的内容作为共享密码，用于验证部署中的其他成员。可以使用您选择的任何方法生成密钥文件。例如，以下操作使用openssl生成密码文件，然后使用chmod来更改文件权限，以便仅为文件所有者提供读取权限

openssl rand -base64 753  > <path-to-keyfile>
    chmod 400 <path-to-keyfile>

#### 将密钥文件复制到每个副本集成员 ####

*  将密钥文件复制到托管副本集成员的每个服务器。确保运行mongod实例的用户是文件的所有者，并且可以访问密钥文件

#### 关闭副本集的所有成员 ####

*  关闭复制集中的每个mongod，从次节点开始。直到副本集的所有成员都离线，包括任何仲裁者。主节点必须是最后一个成员关闭以避免潜在的回滚。要关闭mongod，请使用mongo shell连接每个mongod，并在admin数据库上发出db.shutdownServer（）：

use admin
    db.shutdownServer()

#### 启动执行访问控制的副本集的每个成员 ####

*  使用keyFile参数运行mongod同时强制内部身份验证和基于角色的访问控制。使用配置文件或命令行启动副本集中的每个mongod。
 *  配置文件  
    如果使用配置文件，请将security.keyFile选项设置为keyfile的路径，

security:
    keyFile:<path-to-keyfilie>

使用配置文件启动mongod：

mongod --config <path-to-config-file>

*  命令行  
    如果使用命令行选项，请使用–keyFile数启动mongod：

mongod --keyFile <path-to-keyfile>

#### 连接主节点 ####

*  通过localhost接口将mongo shell连接到配置服务器mongod主节点  
    必须使用localhost接口连接，因为没有为部署创建任何用户。创建第一个用户后，无论您如何连接到mongod，都必须使用该用户进行身份验证。

#### 创建用户管理员 ####

*  创建第一个用户后，localhost异常不再可用。
 *  第一个用户必须具有创建其他用户的权限，例如具有userAdminAnyDatabase的用户。这确保您可以在Localhost异常关闭后创建其他用户。  
    以下示例在admin数据库上创建具有userAdminAnyDatabase角色的用户

admin = db.getSiblingDB("admin")
    admin.createUser(
      {
        user: "fred",
        pwd: "changeme1",
        roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
      }
    )

#### 验证用户管理员 ####

*  在mongo shell中，使用db.auth（）进行身份验证。

db.getSiblingDB("admin").auth("fred", "changeme1" )

*  或者使用-u ，-p 和–authenticationDatabase参数将新的mongo shell连接到主副本集成员

mongo -u "fred" -p "changeme1" --authenticationDatabase "admin"

#### 创建集群管理员（可选） ####

*  集群管理员用户具有clusterAdmin角色，它允许对复制操作的访问。创建群集管理员用户并在admin数据库中分配clusterAdmin角色，例如：

db.getSiblingDB("admin").createUser(
      {
        "user" : "ravi",
        "pwd" : "changeme2",
        roles: [ { "role" : "clusterAdmin", "db" : "admin" } ]
      }
    )

#### 创建其他用户（可选） ####