mongodb安全整理
本文大都网上参考的，我只是整理了一下
一默认配置情况
1.MongoDB安装时不添加任何参数,默认是没有权限验证的,任何用户都可以登录进来，而且登录的用户可以对数据库任意操作而且可以远程访问数据库，需以--auth参数启动。
2.在刚安装完毕的时候MongoDB都默认有一个admin数据库,此时admin数据库是空的,没有记录权限相关的信息。当admin.system.users一个用户都没有时，即使
mongod启动时添加了--auth参数,如果没有在admin数据库中添加用户,此时不进行任何认证还是可以做任何操作(不管是否是以--auth 参数启动),直到在
admin.system.users中添加了一个用户。
3.MongoDB的访问分为连接和权限验证，即使以--auth参数启动还是可以不使用用户名连接数据库，但是不会有任何的权限进行任何操作
4.admin数据库中的用户名可以管理所有数据库，其他数据库中的用户只能管理其所在的数据库。
二安装安全
1，运行账户
windows下可以使用network service 或者新建一个用户，使用默认的USERS组，然后添加给予数据库文件及日志存储目录的写权限，并建议取消对cmd等程序的
执行权限。
linux下新建一个账户，给予程序的执行权限和数据库文件及日志目录的读写权限，并建议取消对sh等程序的执行权限
groupadd mongodb
useradd -g mongodb -s /sbin/nologin -d /dev/null mongodb //-d 指定家目录为/dev/null
chown -R mongodb:mongodb /data/mongodb/
chown -R mongodb:mongodb /usr/local/mongodb/
2，文件安全
应赋予 MongoDB 相关的文件合适的权限，防止被其它用户非授权访问或篡改。建议按照下面的建议实施权限控制：,
# 配置文件只允许属主读取和修改、属组读取
/usr/local/mongodb/mongodb.conf(640)
# 数据目录只允许属主读取和修改
/usr/local/mongodb/data/(600)
# 日志文件只允许属主读取和修改、属组读取
/usr/local/mongodb/log/mongodb.log(640)
三安装后的实践
1. 为数据库增加管理员
use admin
db.createUser({
>user:'userName',
pwd:'password',
roles:[{role:'userAdminAnyDatabase',db:'admin'}]
})
2.修改配置文件
vim /etc/mongod.conf
启用用户认证
auth=true
设置监听地址
bind_ip=192.168.31.139
最好在网卡上绑定一个新IP，并关闭ping，只开放一个高端端口
设置监听端口
port=33333
在2.6以后这2个接口默认是关闭的
nohttpinterface=true
rest = false
3.重启服务生效
service mongod restart
4. 为普通数据库创建用户
use test db.createUser({user:'admin',pwd:'admin',roles:[{role:'readWrite',db:'test'}]})
在为test数据库创建用户之前，你必须先使用前面创建的管理员账号登录
role这里有两个规则：readWrite表示可读可写，read表示为只能读
5.修改和删除账户
use admin
db.auth('name','pass') //身份认证
db.removeUser('admin')
运行删除admin这个账号
use admin
db.updateUser({user:'admin',pwd:'123456'})
更改密码为123456
6.禁止javascript脚本执行
MongoDB对js做了一定的扩展。 db.eval(code) 实际上底层执行的是 db.$cmd*系列js代码
如果程序可以不使用javascript的话，关闭执行
vim /etc/mongod.conf
noscripting=true
重启服务生效
注，下面的命令都是调用js接口
rs1:PRIMARY> db.$cmd.help()db.$cmd.help()
DBCollection help
db.$cmd.find().help() - show DBCursor help
db.$cmd.bulkWrite( operations, <optional params> ) - bulk execute write operations, optional parameters are: w, wtimeout, j
db.$cmd.count( query = {}, <optional params> ) - count the number of documents that matches the query, optional parameters are: limit, skip, hint, maxTimeMS
db.$cmd.copyTo(newColl) - duplicates collection by copying all documents to newColl; no indexes are copied.
db.$cmd.convertToCapped(maxBytes) - calls {convertToCapped:'$cmd', size:maxBytes}} command
db.$cmd.createIndex(keypattern[,options])
db.$cmd.createIndexes([keypatterns], <options>)
db.$cmd.dataSize()
db.$cmd.deleteOne( filter, <optional params> ) - delete first matching document, optional parameters are: w, wtimeout, j
db.$cmd.deleteMany( filter, <optional params> ) - delete all matching documents, optional parameters are: w, wtimeout, j
db.$cmd.distinct( key, query, <optional params> ) - e.g. db.$cmd.distinct( 'x' ), optional parameters are: maxTimeMS
db.$cmd.drop() drop the collection
db.$cmd.dropIndex(index) - e.g. db.$cmd.dropIndex( "indexName" ) or db.$cmd.dropIndex( { "indexKey" : 1 } )
db.$cmd.dropIndexes()
db.$cmd.ensureIndex(keypattern[,options]) - DEPRECATED, use createIndex() instead
db.$cmd.explain().help() - show explain help
db.$cmd.reIndex()
db.$cmd.find([query],[fields]) - query is an optional query filter. fields is optional set of fields to return.
e.g. db.$cmd.find( {x:77} , {name:1, x:1} )
db.$cmd.find(...).count()
db.$cmd.find(...).limit(n)
db.$cmd.find(...).skip(n)
db.$cmd.find(...).sort(...)
db.$cmd.findOne([query], [fields], [options], [readConcern])
db.$cmd.findOneAndDelete( filter, <optional params> ) - delete first matching document, optional parameters are: projection, sort, maxTimeMS
db.$cmd.findOneAndReplace( filter, replacement, <optional params> ) - replace first matching document, optional parameters are: projection, sort, maxTimeMS, upsert, returnNewDocument
db.$cmd.findOneAndUpdate( filter, update, <optional params> ) - update first matching document, optional parameters are: projection, sort, maxTimeMS, upsert, returnNewDocument
db.$cmd.getDB() get DB object associated with collection
db.$cmd.getPlanCache() get query plan cache associated with collection
db.$cmd.getIndexes()
db.$cmd.group( { key : ..., initial: ..., reduce : ...[, cond: ...] } )
db.$cmd.insert(obj)
db.$cmd.insertOne( obj, <optional params> ) - insert a document, optional parameters are: w, wtimeout, j
db.$cmd.insertMany( [objects], <optional params> ) - insert multiple documents, optional parameters are: w, wtimeout, j
db.$cmd.mapReduce( mapFunction , reduceFunction , <optional params> )
db.$cmd.aggregate( [pipeline], <optional params> ) - performs an aggregation on a collection; returns a cursor
db.$cmd.remove(query)
db.$cmd.replaceOne( filter, replacement, <optional params> ) - replace the first matching document, optional parameters are: upsert, w, wtimeout, j
db.$cmd.renameCollection( newName , <dropTarget> ) renames the collection.
db.$cmd.runCommand( name , <options> ) runs a db command with the given name where the first param is the collection name
db.$cmd.save(obj)
db.$cmd.stats({scale: N, indexDetails: true/false, indexDetailsKey: <index key>, indexDetailsName: <index name>})
db.$cmd.storageSize() - includes free space allocated to this collection
db.$cmd.totalIndexSize() - size in bytes of all the indexes
db.$cmd.totalSize() - storage allocated for all data and indexes
db.$cmd.update( query, object[, upsert_bool, multi_bool] ) - instead of two flags, you can pass an object with fields: upsert, multi
db.$cmd.updateOne( filter, update, <optional params> ) - update the first matching document, optional parameters are: upsert, w, wtimeout, j
db.$cmd.updateMany( filter, update, <optional params> ) - update all matching documents, optional parameters are: upsert, w, wtimeout, j
db.$cmd.validate( <full> ) - SLOW
db.$cmd.getShardVersion() - only for use with sharding
db.$cmd.getShardDistribution() - prints statistics about data distribution in the cluster
db.$cmd.getSplitKeysForChunks( <maxChunkSize> ) - calculates split points over all chunks and returns splitter function
db.$cmd.getWriteConcern() - returns the write concern used for any operations on this collection, inherited from server/db if set
db.$cmd.setWriteConcern( <write concern doc> ) - sets the write concern for writes to the collection
db.$cmd.unsetWriteConcern( <write concern doc> ) - unsets the write concern for writes to the collection
7，使用防火墙限制连接的来源IP
四附：
1，常见不合理配置用户权限
仅仅使用一个高权限用户（如root）来执行所有操作
给一个用户多于他需要的权限
使用弱密码或者多个账号同用一个密码
删除数据库后没有删除相应的用户
2：副本集认证
副本集总体思路是用户名、密码和keyfile文件，keyfile需要各个副本集服务启动时加载而且要是同一文件，然后在操作库是需要用户名、密码
KeyFile文件必须满足条件:
（1）至少6个字符，小于1024字节
（2）认证时候不考虑文件中空白字符
（3）连接到副本集的成员和mongos进成的keyfile文件内容必须一样
（4）必须是base64编码,但是不能有等号
（5）文件权限必须是x00,也就是说，不能分配任何权限给group成员和other成员
五MongoDB中用户的角色说明
1. read角色
数据库的只读权限，包括：
aggregate,checkShardingIndex,cloneCollectionAsCapped,collStats,count,dataSize,dbHash,dbStats,distinct,filemd5，mapReduce (inline output only.),text (beta feature.)geoNear,geoSearch,geoWalk,group
2. readWrite角色
数据库的读写权限，包括：
read角色的所有权限
cloneCollection (as the target database.),convertToCapped，create (and to create collections implicitly.)，renameCollection (within the same database.)findAndModify,mapReduce (output to a collection.)
drop(),dropIndexes,emptycapped,ensureIndex()
3. dbAdmin角色
数据库的管理权限，包括：
clean,collMod,collStats,compact,convertToCappe
create,db.createCollection(),dbStats,drop(),dropIndexes
ensureIndex()，indexStats,profile,reIndex
renameCollection (within a single database.),validate
4. userAdmin角色
数据库的用户管理权限
5. clusterAdmin角色
集群管理权限(副本集、分片、主从等相关管理)，包括：
addShard,closeAllDatabases,connPoolStats,connPoolSync,_cpuProfilerStart_cpuProfilerStop,cursorInfo,diagLogging,dropDatabase
shardingState,shutdown,splitChunk,splitVector,split,top,touchresync
serverStatus,setParameter,setShardVersion,shardCollection
replSetMaintenance,replSetReconfig,replSetStepDown,replSetSyncFrom
repairDatabase,replSetFreeze,replSetGetStatus,replSetInitiate
logRotate,moveChunk,movePrimary,netstat,removeShard,unsetSharding
hostInfo,db.currentOp(),db.killOp(),listDatabases,listShardsgetCmdLineOpts,getLog,getParameter,getShardMap,getShardVersion
enableSharding,flushRouterConfig,fsync,db.fsyncUnlock()
6. readAnyDatabase角色
任何数据库的只读权限(和read相似)
7. readWriteAnyDatabase角色
任何数据库的读写权限(和readWrite相似)
8. userAdminAnyDatabase角色
任何数据库用户的管理权限(和userAdmin相似)
9. dbAdminAnyDatabase角色
任何数据库的管理权限(dbAdmin相似)
