mongodb 安全-白红宇

mongodb 安全

阅读量：4982 次

发布时间：2019-06-12

本文共 8740 字，大约阅读时间需要 29 分钟。

一、认证Authentication

1、创建用户：

　　db.createUser(

　　{

　　user: "reportsUser",

　　pwd: "12345678",

　　roles: [

　　　　{ role: "read", db: "reporting" },

　　　　{ role: "read", db: "products" },

　　　　{ role: "read", db: "sales" },

　　　　{ role: "readWrite", db: "accounts" }

　　　　]

　　　　}

　　)

2、认证机制 Authentication Mechanisms

　　SCRAM-SHA-1

　　MONGODB-CR

　　x.509 ---------------------用于客户端认证以及副本集和分片群集成员的内部认证

　　3.0版本之后默认用SCRAM-SHA-1 之前默认用MONGODB-CR

3、企业认证机制Enterprise Authentication Mechanisms

　　Kerberos身份验证 ------------------------大型客户机/服务器系统的行业标准认证协议

　　LDAP代理身份验证

4、内部认证Internal Authentication

--------------------------------------------------------------

二、启用身份验证

1）步骤：

　　1、启动没有访问控制的MongoDB --------- mongod --port 27017 --dbpath /data/db1

　　2、连接到实例--------------------------------- mongo --port 27017

　　3、创建用户管理员---------------------------- use admin

　　　　db.createUser(

　　　　{

　　　　　　user: "myUserAdmin",

　　　　　　pwd: "abc123",

　　　　　　roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]

　　　　}

　　)

　　4、用访问控制重新启动MongoDB实例--- mongod --auth --port 27017 --dbpath /data/db1

　　5、以用户管理员身份进行连接和身份验证-- mongo --port 27017 -u "myUserAdmin" -p "abc123" --authenticationDatabase "admin"

　　6、根据需要为您的部署创建其他用户------- use test

　　　　　　　　　　　　　　　　　　　　　　db.createUser(

　　　　　　　　　　　　　　　　　　　　　　　　{

　　　　　　　　　　　　　　　　　　　　　　　　user: "myTester",

　　　　　　　　　　　　　　　　　　　　　　　　pwd: "xyz123",

　　　　　　　　　　　　　　　　　　　　　　　　roles: [ { role: "readWrite", db: "test" },

　　　　　　　　　　　　　　　　　　　　　　　　{ role: "read", db: "reporting" } ]

　　　　　　　　　　　　　　　　　　　　　　　　}

　　　　　　　　　　　　　　　　　　　　　　　　)

　　7、作为myTester连接和认证。------------- mongo --port 27017 -u "myTester" -p "xyz123" --authenticationDatabase "test"

2）管理用户与角色

1、新增角色

　　use admin

　　db.createRole(

　　{

　　role: "manageOpRole",

　　privileges: [

　　　　{ resource: { cluster: true }, actions: [ "killop", "inprog" ] },

　　　　{ resource: { db: "", collection: "" }, actions: [ "killCursors" ] }

　　roles: []

　　　　}

　　)

2、修改现有用户的访问权限

　　db.getUser() and db.getRole() methods.来获取用户和角色

　　db.revokeRolesFromUser() method 回收一个用户的角色

　　　　　　use reporting

　　　　　　　　db.revokeRolesFromUser(

　　　　　　　　"reportsUser",

　　　　　　　　[{ role: "readWrite", db: "accounts" }　]

　　　　　　　　)

　　db.grantRolesToUser() method 授予一个用户的角色

3、修改现有用户的密码

　　db.changeUserPassword() method.

　　db.changeUserPassword("reporting", "SOh3TbYhxuLiW8ypJPxmt1oOfL")

4、查看用户的角色

　　db.getUser() method

5、查看角色的权限

　　db.getRole() method

3）更改您的密码和自定义数据

　　　　To modify your own password and custom data, you must have privileges that grant changeOwnPassword and changeOwnCustomData actions respectively

　　on the user’s database.

　　建立个角色包含changeOwnPassword 和changeOwnCustomData 权限；

　　然后分配给一个用户；

　　通过db.updateUser() method to update the password and custom data；

　　use test
　　　　db.updateUser(
　　　　"user123",
　　　　{

　　　　pwd: "KNlZmiaNUp0B",
　　　　customData: { title: "Senior Manager" }
　　　　}
　　)
三、基于角色的访问控制
　　　　MongoDB采用基于角色的访问控制（RBAC）来管理对MongoDB系统的访问。用户被授予一个或多个角色，以确定用户对数据库资源和操作的访问权限。

　　在角色分配之外，用户不能访问系统。

1) 内置角色

Built-in database user roles and database administration roles roles exist in each database

database user roles数据库用户角色： read and readWrite

database administration roles数据库管理角色：dbAdmin、dbOwner and userAdmin

Cluster Administration Roles 群集管理角色： clusterAdmin 、clusterManager、clusterMonitor and hostManager

Backup and Restoration Roles 备份和恢复角色：backup and restore

All-Database Roles 全数据库角色：readAnyDatabase 、readWriteAnyDatabase、userAdminAnyDatabase and dbAdminAnyDatabase

Superuser Roles 超级用户角色：root

Internal Role内部角色：__system 除特殊情况以外，不要将此角色分配给表示应用程序或人员管理员的用户对象。

2）用户定义的角色

添加角色时，可以在特定数据库中创建角色。 MongoDB使用数据库和角色名称的组合来唯一地定义一个角色

除了在admin数据库中创建的角色外，角色只能包含适用于其数据库的权限，并且只能从其数据库中的其他角色继承。

MongoDB将所有角色信息存储在admin数据库的system.roles集合中

3)集合级访问控制

管理员可以通过用户定义的角色实现集合级访问控制。通过创建具有特定数据库中特定集合的特权的角色，

管理员可以为用户提供授予集合级别权限的角色。

privileges: [

{ resource: { db: "products", collection: "inventory" }, actions: [ "find", "update", "insert" ] },

{ resource: { db: "products", collection: "orders" }, actions: [ "find" ] }

]

四、Encryption 加密

1）Transport Encryption 传输加密

　　MongoDB支持TLS / SSL（传输层安全/安全套接字层）来加密所有MongoDB的网络流量。

TLS / SSL确保MongoDB网络流量只能由预期的客户端读取。

1、为TLS / SSL配置mongod和mongos

1.1---------使用SSL证书和密钥设置mongod和mongos

　　mongod --sslMode requireSSL --sslPEMKeyFile <pem>

　　例如：mongod --sslMode requireSSL --sslPEMKeyFile /etc/ssl/mongodb.pem

1.2--------设置证书验证mongod和mongos

　　mongod --sslMode requireSSL --sslPEMKeyFile <pem> --sslCAFile <ca>

　　mongod --sslMode requireSSL --sslPEMKeyFile /etc/ssl/mongodb.pem --sslCAFile /etc/ssl/ca.pem

　　要防止具有吊销证书的客户端连接，请包含sslCRLFile以指定包含吊销证书的.pem文件。

　　mongod --sslMode requireSSL --sslCRLFile /etc/ssl/ca-crl.pem --sslPEMKeyFile /etc/ssl/mongodb.pem --sslCAFile /etc/ssl/ca.pem

　　仅在客户提交证书时进行验证：加上 --sslAllowConnectionsWithoutCertificates 选项

　　要防止MongoDB服务器接受使用特定协议的传入连接，请包括--sslDisabledProtocols选项，或者如果使用配置文件net.ssl.disabledProtocols设置

2、客户端的TLS / SSL配置

　　　　　　　　　　　　　　　　　　　　-------------------mongo Shell SSL配置------------------------

　　2.1使用SSL加密连接到MongoDB实例

　　　　mongo --ssl --host hostname.example.com --sslCAFile /etc/ssl/ca.pem

　　2.2连接到需要客户端证书的MongoDB实例

　　　　mongo --ssl --host hostname.example.com --sslPEMKeyFile /etc/ssl/client.pem --sslCAFile /etc/ssl/ca.pem

　　连接到提供证书时验证的MongoDB实例

　　(MongoDB 3.2.6添加了对系统CA存储检查证书的支持，允许您使用--ssl选项运行mongo shell，

　　　　而不包括--sslCAFile或sslAllowInvalidCertificates)

　　　　mongo --ssl --host hostname.example.com --sslCAFile /etc/ssl/ca.pem

　　mongo --ssl --host hostname.example.com --sslPEMKeyFile /etc/ssl/client.pem --sslCAFile /etc/ssl/ca.pem

　　　　　　　　　　　　　　　　　　　　-------------------mongo Shell SSL配置 end---------------------

3、升级群集以使用TLS / SSL

　　To upgrade from a MongoDB cluster using no TLS/SSL encryption to one using only TLS/SSL encryption

use the following rolling upgrade process:

3.1对于群集的每个节点，使用选项--sslMode设置为允许SSL启动节点

　　mongod --replSet <name> --sslMode allowSSL --sslPEMKeyFile <path to TLS/SSL Certificate and key PEM file>

--sslCAFile <path to root CA PEM file>

3.2切换所有客户端以使用TLS / SSL

3.3对于群集的每个节点，请使用setParameter命令将sslMode更新为preferSSL。

　　db.adminCommand( { setParameter: 1, sslMode: "preferSSL" } )------------该节点同时接受TLS / SSL和非TLS /非SSL入局连接

3.4对于群集的每个节点，请使用setParameter命令将sslMode更新为requireSSL。

　　db.adminCommand( { setParameter: 1, sslMode: "requireSSL" } ) ----以requireSSL作为其net.ssl.mode，节点将拒绝任何非TLS /非SSL连接

3.5所有节点升级后，使用适当的TLS / SSL设置编辑配置文件，以确保在随后重新启动时，群集使用TLS / SSL。

4、为FIPS配置MongoDB

　　联邦信息处理标准（FIPS）是美国政府的计算机安全标准，用于对安全地加密和解密数据的软件模块和库进行认证。

您可以将MongoDB配置为使用经过FIPS 140-2认证的OpenSSL库运行。配置FIPS默认运行或根据需要从命令行运行。

4.1配置MongoDB以使用TLS / SSL

4.2以FIPS模式运行mongod或mongos实例

4.2.1改变配置文件　　　　 net:

　　　　　　　　　　　　　　ssl:

　　　　　　　　　　　　　　　FIPSMode: true

4.2.2 用配置文件启动mongod或mongos实例。mongod --config /etc/mongod.conf

4.3确认FIPS模式正在运行

　　FIPS 140-2 mode activated

五、 Auditing 审计

MongoDB Enterprise包含mongod和mongos实例的审计功能。

审计工具允许管理员和用户跟踪多个用户和应用程序部署的系统活动。

审计系统将每个审计事件写入审计事件的内存缓冲区。 MongoDB定期将此缓冲区写入磁盘

如果审计事件条目对应于影响数据库持久状态的操作（如对数据的修改），那么在写入该条目的日志之前，MongoDB将始终将审计事件写入磁盘，也就是说，在向日志添加操作之前，MongoDB会将所有审计事件写入触发操作的连接，直到操作的入口。These auditing guarantees require that MongoDB run with journaling enabled.

　　　　　　　　　　　　　　-------------------- 配置审计---------------------------

1、启用并配置审计输出

　　　　Use the --auditDestination option to enable auditing

1.1 Output to Syslog

　　　　mongod --dbpath data/db --auditDestination syslog

1.2 Output to Console

　　　　mongod --dbpath data/db --auditDestination console

1.3 Output to JSON File

　　　　--auditDestination设置指定文件，为--auditFormat设置指定JSON，

　　　　为--auditPath指定输出文件名。 --auditPath选项接受全路径名或相对路径名。

　　　　mongod --dbpath data/db --auditDestination file --auditFormat JSON --auditPath data/db/auditLog.json

1.4 Output to BSON File