mongo副本集开启安全认证

线上mongo是四节点的副本集，其中一个节点是延迟并且隐藏不参与选举。由于业务的需要，现在需要开启mongo的安全认证。根据官网的介绍（ https://www.mongodb.com/zh-cn/docs/manual/tutorial/enforce-keyfile-access-control-in-existing-replica-set-without-downtime/），可以采取不停机（transitionToAuth: true）的方式，将副本集更新为密钥文件身份验证，并且连接到副本集的客户端也需要认证。

1.基于角色的访问控制

MongoDB 采用基于角色的访问控制 (RBAC) 来管理对 MongoDB 系统的访问。向用户授予一个或多个角色，而这些角色决定了该用户对数据库资源和操作的访问权限。在分配的角色之外，该用户无权访问系统。

因此需要先创建角色，不同的角色对应不同的权限。其次在创建用户，将用户分配不同的角色。需要注意的是，在创建用户时需要指定Authentication Database，这个db就是此用户的身份验证数据库，不同的用户访问不同的db，也可以统一指定一个db用于认证，比如admin。

2.开启安全认证

• 用户权限

账号分配遵循最小权限原则，分别是read（只读），readWrite（读写），dbAdmin（日常运维管理），userAdmin（管理用户权限），clusterAdmin（副本集管理），clusterMonitor（监控），backup（备份用户）

查看代码

#只读
db.getSiblingDB("admin").runCommand( {createUser: "onlyread",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "readAnyDatabase", db:"admin" }]} )
#读写
db.getSiblingDB("admin").runCommand( {createUser: "readwrite",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "readWriteAnyDatabase", db:"admin" }]} )
#dbadmin
db.getSiblingDB("admin").runCommand( {createUser: "dbadmin",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "dbAdminAnyDatabase", db:"admin" }]} )
#useradmin
db.getSiblingDB("admin").runCommand( {createUser: "grantadmin",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "userAdminAnyDatabase", db:"admin" }]} )
#clusterAdmin
db.getSiblingDB("admin").runCommand( {createUser: "replAdmin",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "clusterAdmin", db:"admin" }]} )
#superuser
db.getSiblingDB("admin").runCommand( {createUser: "rootuser",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "root", db:"admin" }]} )
#clusterMonitor
db.getSiblingDB("admin").runCommand( {createUser: "monitor",pwd: "XXXXXXXXXXXXXX",roles: [{ role: "clusterMonitor", db:"admin" }]} )
#备份还原
db.getSiblingDB("admin").createRole({ "role": "pbmAnyAction",
      "privileges": [
         { "resource": { "anyResource": true },
           "actions": [ "anyAction" ]
         }
      ],
      "roles": []
   });
 
db.getSiblingDB("admin").createUser({user: "pbmuser",
       "pwd": "secretpwd",
       "roles" : [
          { "db" : "admin", "role" : "readWrite", "collection": "" },
          { "db" : "admin", "role" : "backup" },
          { "db" : "admin", "role" : "clusterMonitor" },
          { "db" : "admin", "role" : "restore" },
          { "db" : "admin", "role" : "pbmAnyAction" }
       ]
    });

• 创建密钥文件

查看代码

openssl rand -base64 756 > 文件路径
chmod 400 文件路径

• 拷贝密钥文件至所有节点

• 配置文件

在配置文件中，添加以下内容

查看代码

security:
    keyFile: 文件路径
    clusterAuthMode: keyFile
    authorization: enabled
    transitionToAuth: true

解释

keyFile指明密钥文件路径

clusterAuthMode副本集之间的认证方式为密钥文件

authorization开启认证

transitionToAuth: true 过渡状态，既接受经过身份验证的连接，也接受未经身份验证的连接

• 应用程序连接

开启安全认证之后，应用程序需要修改url，加上账号，密码，以及认证db

查看代码

mongodb://账号:密码@ip1:port,ip2:port,ip3:port/admin?authSource=admin

• 滚动重启

现在重启其他两个节点，主库在降级重启

• 监控用户

这里就需要监控一下，没有使用认证方式连接的用户了

统计所有链接的ip

查看代码

grep "connection accepted from" /data1/mongo_rs1/log/mongod.log | awk -F ':' '{print $3}' | awk '{print $NF}' | sort | uniq

统计所有认证的ip

grep "authenticated" /data1/mongo_rs1/log/mongod.log | awk -F ':' '{print $3}' | awk '{print $NF}' | sort | uniq

对比以上两个结果，找出没有认证的ip

找出认证失败的IP

grep "AuthenticationFailed"  /data1/mongo_rs1/log/mongod.log| grep -v "requestId" | awk -F ':' '{print $3}' | awk '{print $NF}' | sort | uniq

• 取消过渡状态

持续监控一段时间，直到没有出现未认证的ip，在取消过渡状态

删除配置文件transitionToAuth: true，并滚动重启