【MongoDB】Docker部署的MongoDB的用户鉴权问题

Docker部署的MongoDB的用户鉴权问题

写这篇博客的起因是在阿里云上用Docker部署了一个MongoDB数据库，用来存毕设网站用到的数据库。因为数据量比较小，并且没有隐私数据，所以并没有设置密码。没想到被黑了，有人把所有的数据Copy走后把所有库都删除了，并且留下了一封勒索0.0015BTC的文档。

为了防止此类事件再次发生，我们要对MongoDB进行加锁，换端口等一系列措施。这里记录了我是怎么做的。

MongoDB镜像

采用最新的MongoDB:latest镜像。

换端口

不把MongoDB服务映射到默认的27017端口上，因为这样很容易被黑客扫描的时候检测出来。直接在部署Docker的时候把容器内部27017映射到其他关口上。

最后在防火墙平台上开放这条映射规则，关闭原来的27017端口映射规则。

启动Docker

建立Docker时用如下命令：

    sudo docker run -it mongoDB:latest --name="MongoDB" mongod --auth

最后加--auth这个参数。这样登录时需要用户名和密码。

设置admin库

在docker中运行mongo，接入数据库，然后use admin，进入admin库，为admin库增加一个admin用户：

    db.createUser({user: 'admin', pwd: 'password', roles: ['userAdminAnyDatabase']})

然后可以使用数据库的图形界面，用admin账号登录数据库，然后创建角色并赋予权限。

角色与权限

可以为每一个数据库都设置角色和权限。

• Read：允许用户读取指定数据库（不可进行任何更改，只能查看）

• readWrite：允许用户读写指定数据库（任何操作，包括删有权限db中的col权限）

• dbAdmin：允许用户在指定数据库中执行管理函数，如索引创建、删除，查看统计或访问system.profile

• userAdmin：允许用户向system.users集合写入，可以找指定数据库里创建、删除和管理用户

• clusterAdmin：只在admin数据库中可用，赋予用户所有分片和复制集相关函数的管理权限。

• readAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读权限

• readWriteAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读写权限

• userAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的userAdmin权限

• dbAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的dbAdmin权限。

• root：只在admin数据库中可用。超级账号，超级权限