MongoDB安全及身份認證

標籤：比較   drop   ide   索引   唯讀   監控   重要   any   read   

前面的話

　　本文將詳細介紹MongoDB安全相關的內容

 

概述

　　MongoDB安全主要包括以下4個方面

　　1、物理隔離

　　系統不論設計的多麼完善，在實施過程中，總會存在一些漏洞。如果能夠把不安全的使用方與MongoDB資料庫做物理上的隔離，即通過任何手段都不能串連到資料庫，這是最安全的防護。但，通常這是不現實的。一些重要的資料可能會儲存下來，放置到物理隔離的機房中

　　2、網路隔離

　　許多公司的開發機處於內網環境中。即使資料庫存在漏洞，外部環境也沒有機會利用，因為根本無法訪問內網

　　3、防火牆隔離

　　可以利用防火牆配置IP白名單，只允許某些IP訪問資料庫，也可以從一定程度上增加MongoDB的安全性

　　4、使用者名稱密碼鑒權

　　相對於以上3種方式，使用者名稱密碼鑒權機制是最常見的MongoDB安全措施。如果密碼設定的比較簡單，或者串連環境不是加密環境，很可能被第三方擷取到使用者名稱和密碼，從而造成MongoDB資料庫的危險

 

許可權認證

　　mongodb儲存所有的使用者資訊在admin資料庫的集合system.users中，儲存使用者名稱、密碼和資料庫資訊。mongodb預設不啟用許可權認證，只要能串連到該伺服器，就可串連到mongod。若要啟用安全認證，需要更改設定檔參數authorization，也可以簡寫為auth。

　　然後，重啟mongod。查看記錄檔，發現許可權認證已經開啟

　　但是，不使用使用者名稱和密碼依然可以串連到資料庫。這是因為，我們還沒有建立使用者。在使用者建立，並且開啟許可權認證之後，如果不使用使用者名稱和密碼將不能夠串連到資料庫

 

角色管理

　　在進行使用者管理之前，首先要先瞭解角色管理

　　MongoDB支援角色型存取控制（RBAC）來管理對MongoDB系統的訪問。一個使用者可以被授權一個或者多個:ref:角色 <roles> 以決定該使用者對資料庫資源和操作的存取權限。在許可權以外，使用者是無法訪問系統的

　　資料庫角色在建立使用者中的role參數中設定。角色分為內建角色和自訂角色

【內建角色】

　　MongoDB內建角色包括以下幾類

　　1、資料庫使用者角色

read：允許使用者讀取指定資料庫readWrite：允許使用者讀寫指定資料庫

　　2、資料庫管理員角色

dbAdmin：允許使用者進行索引建立、刪除，查看統計或訪問system.profile，但沒有角色和使用者管理的許可權userAdmin：提供了在當前資料庫中建立和修改角色和使用者的能力
dbOwner： 提供對資料庫執行任何管理操作的能力。這個角色群組合了readWrite、dbAdmin和userAdmin角色授予的特權。

　　3、叢集管理角色

clusterAdmin ： 提供最強大的叢集管理訪問。組合clusterManager、clusterMonitor和hostManager角色的能力。還提供了dropDatabase操作clusterManager ： 在叢集上提供管理和監視操作。可以訪問配置和本機資料庫，這些資料庫分別用於分區和複製clusterMonitor ： 提供對監控工具的唯讀訪問，例如MongoDB雲管理器和Ops管理器監控代理。hostManager ： 提供監視和管理伺服器的能力。

　　4、備份恢複角色

backup ： 提供備份資料所需的能力，使用MongoDB雲管理器備份代理、Ops管理器備份代理或使用mongodumprestore ： 提供使用mongorestore恢複資料所需的能力

　　5、所有資料庫角色

readAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的讀許可權 readWriteAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的讀寫權限 userAdminAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的userAdmin許可權 dbAdminAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的dbAdmin許可權。 

　　6、超級使用者角色

root：提供對readWriteAnyDatabase、dbAdminAnyDatabase、userAdminAnyDatabase、clusterAdmin、restore和backup的所有資源的訪問

　　7、內部角色

__system : 提供對資料庫中任何對象的任何操作的特權

【自訂角色】

　　除了使用內建的角色之外，MongoDB還支援使用db.createRole()方法來自訂角色

　　[注意]只能在admin資料庫中建立角色，否則會失敗

　　role: 自訂角色的名稱

　　privileges: 許可權操作　

　　roles：繼承的角色。如果沒有繼承的角色，可以設定為空白數組　　

use admindb.createRole(   {     role: "myClusterwideAdmin",     privileges: [       { resource: { cluster: true }, actions: [ "addShard" ] },       { resource: { db: "config", collection: "" }, actions: [ "find", "update", "insert", "remove" ] },       { resource: { db: "users", collection: "usersCollection" }, actions: [ "update", "insert", "remove" ] },       { resource: { db: "", collection: "" }, actions: [ "find" ] }     ],     roles: [       { role: "read", db: "admin" }     ]   },   { w: "majority" , wtimeout: 5000 })

 

使用者管理

【建立使用者】

　　使用createUser命令來建立使用者

　　user: 使用者名稱  pwd: 密碼

　　customData: 對使用者名稱密碼的說明(可選項)

　　roles: {role:繼承自什麼角色類型，db:資料庫名稱}

db.createUser({user: "...",pwd: "...",customDate:"...",roles:[{role: "...",db: "..."}]})

　　1、建立管理使用者

　　MongoDB沒有預設管理員帳號，所以要先添加管理員帳號。切換到admin資料庫，添加的帳號才是管理員帳號

　　在admin資料庫中，添加一個使用者並賦予userAdminAnyDatabase角色

db.createUser({user: "admin",pwd: "123456",roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]})

 　　2、重新登入資料庫，並驗證許可權

　　如果auth()方法返回0則代表授權失敗，返回1代表授權成功

db.auth()

　　3、添加普通使用者

　　一旦經過認證的使用者管理員，可以使用db.createUser()去建立額外的使用者。 可以分配mongodb內建的角色或使用者自訂的角色給使用者

　　[注意]需要在admin資料庫下進行認證，否則認證不成功

　　由於該使用者只有讀許可權，所以會寫入資料失敗

　　4、建立超級使用者

【查看使用者】

db.system.users.find()

【刪除使用者】

db.dropUser()

【添加使用者權限】

db.grantRolesToUser()

　　給在db1資料庫中唯讀x使用者，添加寫入權限

【修改密碼】

db.changeUserPassword()

 

MongoDB安全及身份認證