Debian MongoDB安全设置指南

在Debian系统上设置MongoDB的安全配置是一个重要的步骤，以确保数据库的安全性。以下是一个详细的指南，涵盖了从安装到安全配置的各个方面。

安装MongoDB

在Debian上安装MongoDB可以通过官方仓库或使用APT包管理器来实现。以下是使用APT包管理器的步骤：

1. 导入MongoDB官方GPG密钥：

wget -qO - https://www.mongodb.org/static/pgp/server-4.4.asc | sudo apt-key add -

2. 创建MongoDB列表文件：

echo "deb [archamd64,arm64] https://repo.mongodb.org/apt/debian bullseye/mongodb-org/4.4 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.4.list

3. 更新APT包数据库：

sudo apt-get update

4. 安装MongoDB：

sudo apt-get install -y mongodb-org

配置MongoDB

启用身份验证

在 /etc/mongod.conf 文件中启用身份验证：

security:
  authorization: enabled

保存文件后，重启MongoDB服务以应用更改：

sudo systemctl restart mongod

创建管理员账户

连接到MongoDB实例并创建管理员账户：

mongo -u admin -p --authenticationDatabase admin

在MongoDB shell中创建用户并分配角色，例如：

use admin
db.createUser({ user: "myUserAdmin", pwd: "myStrongPassword", roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]})

网络隔离

通过配置 bindIp 参数限制MongoDB实例只能从特定IP地址访问。例如，只允许本机访问：

net:
  port: 27017
  bindIp: 127.0.0.1

SSL/TLS加密

为MongoDB配置SSL/TLS以加密客户端和服务器之间的通信。需要生成SSL证书和密钥，然后在 mongod.conf 中配置：

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /path/to/mongodb.pem

重启MongoDB服务以应用更改：

sudo systemctl restart mongod

角色管理

使用内置角色或创建自定义角色来控制用户对数据库的访问权限。例如，创建一个具有读写权限的用户：

use mydatabase
db.createUser({ user: "myuser", pwd: "mypassword", roles: [ { role: "readWrite", db: "mydatabase" } ]})

安全审计

启用审计功能，记录用户的操作行为，有助于追踪和监控数据库的使用情况。在 mongod.conf 中配置审计日志：

security:
  auditLog:
    destination: file
    format: JSON
    path: /var/log/mongodb/audit.json

重启MongoDB服务以应用更改：

sudo systemctl restart mongod

防火墙配置

使用iptables或其他防火墙软件限制对MongoDB端口的访问，确保只有受信任的网络可以访问MongoDB实例。如果你使用的是 ufw 防火墙，可以按照以下步骤操作：

sudo ufw allow from trusted_ip_address/32 port 27017
sudo ufw reload

将 trusted_ip_address 替换为受信任的IP地址。

定期更新和维护

保持MongoDB和Debian系统的更新，以便及时修复已知的安全漏洞。定期检查和更新MongoDB的配置文件，以确保所有安全设置都是最新的。

通过以上步骤，你可以在Debian系统上安全地设置MongoDB。务必定期更新和维护这些安全设置，以应对不断变化的安全威胁。