Linux下MongoDB安全设置指南

1. 启用身份验证

身份验证是防止未授权访问的第一道防线。编辑MongoDB配置文件（/etc/mongod.conf），在security section添加或修改以下内容：

security:
  authorization: enabled

重启MongoDB服务使配置生效：

sudo systemctl restart mongod

创建管理员账户（以admin数据库为例）：

mongo
use admin
db.createUser({
  user: "admin",
  pwd: "YourStrongPassword123!",
  roles: ["root"]  # 分配root角色（拥有所有数据库管理权限）
})

后续所有数据库操作需通过该管理员账户登录。

2. 配置网络访问控制

2.1 限制绑定IP

修改/etc/mongod.conf中的net.bindIp参数，仅允许受信任的IP地址或网络访问。例如：

• 仅本地访问：bindIp: 127.0.0.1
• 允许局域网访问：bindIp: 192.168.1.100,127.0.0.1（替换为实际IP）
  重启服务生效。

2.2 禁用不必要的接口

关闭HTTP状态接口和REST接口，减少攻击面：

net:
  http:
    enabled: false
  RESTInterfaceEnabled: false
  JSONPEnabled: false

重启服务使配置生效。

2.3 配置防火墙

使用ufw（Ubuntu）或iptables（CentOS）限制MongoDB端口（默认27017）的访问：

• ufw示例：

  sudo ufw allow from 192.168.1.0/24 to any port 27017  # 仅允许192.168.1.0/24网段访问
  sudo ufw enable
  

• iptables示例：

  sudo iptables -A INPUT -p tcp --dport 27017 -s 192.168.1.100 -j ACCEPT  # 允许特定IP
  sudo iptables -A INPUT -p tcp --dport 27017 -j DROP  # 拒绝其他IP
  

3. 使用TLS/SSL加密通信

加密MongoDB客户端与服务端之间的通信，防止数据泄露。

3.1 生成SSL证书

使用OpenSSL生成自签名证书（生产环境建议使用CA签发的证书）：

openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout mongodb-key.pem -out mongodb-cert.pem

将生成的mongodb-key.pem（私钥）和mongodb-cert.pem（证书）存放在安全目录（如/etc/ssl/mongodb）。

3.2 配置MongoDB使用SSL

修改/etc/mongod.conf中的net.ssl section：

net:
  ssl:
    mode: requireSSL  # 强制使用SSL
    PEMKeyFile: /etc/ssl/mongodb/mongodb-key.pem  # 私钥路径
    CAFile: /etc/ssl/mongodb/mongodb-cert.pem     # 证书路径（自签名时可省略或指向自身）

重启服务生效。

4. 配置审计日志（MongoDB Enterprise）

审计日志可记录所有用户操作（如查询、插入、删除），便于追踪安全事件。仅在MongoDB Enterprise版本中支持。
修改/etc/mongod.conf中的security.auditLog section：

security:
  auditLog:
    destination: file  # 日志输出到文件
    format: JSON       # 日志格式为JSON（便于解析）
    path: /var/log/mongodb/mongod-audit.log  # 日志文件路径

重启服务使审计功能生效。

5. 使用非特权专用服务账户

避免以root用户运行MongoDB，降低权限提升风险。

5.1 创建专用用户

sudo useradd -r -s /bin/false mongodb  # 创建系统用户（无登录权限）

5.2 修改数据目录权限

将MongoDB数据目录（默认/var/lib/mongodb）和日志目录（默认/var/log/mongodb）的所有权赋予该用户：

sudo chown -R mongodb:mongodb /var/lib/mongodb
sudo chown -R mongodb:mongodb /var/log/mongodb

5.3 以专用用户启动服务

sudo systemctl edit mongod  # 编辑服务文件，添加User和Group参数

在编辑器中添加：

[Service]
User=mongodb
Group=mongodb

保存后重启服务：

sudo systemctl daemon-reload
sudo systemctl restart mongod

6. 遵循最小权限原则配置RBAC

为用户分配仅满足其工作需求的权限，避免过度授权。

6.1 创建数据库用户

例如，为mydatabase数据库创建只读用户app_user：

mongo
use mydatabase
db.createUser({
  user: "app_user",
  pwd: "AppUserPassword456!",
  roles: ["readWrite"]  # 仅授予读写权限
})

6.2 使用内置角色

优先使用MongoDB内置角色（如read、readWrite、dbAdmin、userAdmin），减少自定义角色的复杂度。如需更细粒度的权限，可创建自定义角色。

7. 定期更新与补丁管理

及时应用MongoDB官方发布的安全补丁，修复已知漏洞。

# Ubuntu/Debian
sudo apt-get update
sudo apt-get upgrade mongodb-org

# CentOS/RHEL
sudo yum update mongodb-org

建议开启自动更新（如unattended-upgrades），确保系统与MongoDB始终保持最新状态。

8. 文件系统权限设置

确保MongoDB数据文件和配置文件的权限仅允许授权用户访问：

sudo chmod -R 750 /var/lib/mongodb  # 数据目录：所有者可读写执行，组用户可读执行
sudo chmod -R 750 /var/log/mongodb  # 日志目录：同上
sudo chmod 600 /etc/mongod.conf     # 配置文件：仅所有者可读写

9. 禁用不必要的功能

9.1 禁用REST接口

REST接口允许通过HTTP访问MongoDB，存在安全风险，建议关闭（已在步骤2.2中配置）。

9.2 禁用JavaScript执行

若无需在查询中使用JavaScript，可在配置文件中禁用：

security:
  javascriptEnabled: false

重启服务生效。

10. 定期备份数据

定期备份MongoDB数据，确保在数据丢失或被篡改时能够快速恢复。

10.1 使用mongodump备份

mongodump --out /path/to/backup --host 127.0.0.1 --port 27017 --username admin --password YourStrongPassword123!

10.2 使用mongorestore恢复

mongorestore /path/to/backup --host 127.0.0.1 --port 27017 --username admin --password YourStrongPassword123!

建议将备份文件存储在异地或云存储中，进一步提高数据安全性。

通过以上步骤，可显著提升Linux环境下MongoDB的安全性，防范未授权访问、数据泄露等常见安全威胁。需定期审查安全配置（如每季度一次），并根据业务需求调整权限和访问控制策略。