MongoDB安全认证

最新推荐文章于 2024-08-02 09:30:00 发布
最新推荐文章于 2024-08-02 09:30:00 发布
阅读量668 收藏 2
点赞数
分类专栏： MongoDB 文章标签： mongodb
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kiven_ch/article/details/119490955
版权

安全认证概述

  MongoDB 默认是没有账号的，可以直接连接，无须身份验证。实际项目中肯定是要权限验证的，否则后果不堪设想。从2016年开始 发生了多起MongoDB黑客赎金事件，大部分MongoDB安全问题 暴露出了安全问题的短板其实是用户，首先用户对于数据库的安全不重视，其次用户在使用过程中可能没有养成定期备份的好习惯，最后是企业可能缺乏有经验和技术的专业人员。所以对MongoDB进行安全认证是必须要做的。

用户相关操作

切换到admin数据库对用户的添加

use admin;

db.createUser(userDocument)：用于创建 MongoDB 登录用户以及分配权限的方法

db.createUser(
	{
		user: "账号",
		pwd: "密码",
		roles: [
		{ role: "角色", db: "安全认证的数据库" },
		]
	}
)

user：创建的用户名称，如 admin、root 、lagou
pwd：用户登录的密码
roles：为用户分配的角色，不同的角色拥有不同的权限，参数是数组，可以同时设置多个
role：角色，MonngoDB 已经约定好的角色，不同的角色对应不同的权限 后面会对role做详细解释
db：数据库实例名称，如 MongoDB 4.0.2 默认自带的有 admin、local、config、test 等，即为哪个数据库实例 设置用户

举例:

db.createUser(
	{
		user:"root",
		pwd:"123321",
		roles:[{role:"root",db:"admin"}]
	}
)

修改密码

db.changeUserPassword( ‘root’ , ‘rootNew’ );

用户添加角色

db.grantRolesToUser( ‘用户名’ , [{ role: ‘角色名’ , db: ‘数据库名’}])

以auth 方向启动mongod

./bin/mongod -f conf/mongo.conf --auth
（也可以在mongo.conf 中添加auth=true 参数）

验证用户

db.auth(“账号”,“密码”)

删除用户

db.dropUser(“用户名”)

角色

数据库内置的角色

查询数据库的内置角色

> db.runCommand({ rolesInfo: 1, showBuiltinRoles: true })
{
	"roles" : [
		{
			"role" : "dbAdmin",
			"db" : "test",
			"isBuiltin" : true,
			"roles" : [ ],
			"inheritedRoles" : [ ]
		},
		{
			"role" : "dbOwner",
			"db" : "test",
			"isBuiltin" : true,
			"roles" : [ ],
			"inheritedRoles" : [ ]
		},
		{
			"role" : "enableSharding",
			"db" : "test",
			"isBuiltin" : true,
			"roles" : [ ],
			"inheritedRoles" : [ ]
		},
		{
			"role" : "read",
			"db" : "test",
			"isBuiltin" : true,
			"roles" : [ ],
			"inheritedRoles" : [ ]
		},
		{
			"role" : "readWrite",
			"db" : "test",
			"isBuiltin" : true,
			"roles" : [ ],
			"inheritedRoles" : [ ]
		},
		{
			"role" : "userAdmin",
			"db" : "test",
			"isBuiltin" : true,
			"roles" : [ ],
			"inheritedRoles" : [ ]
		}
	],
	"ok" : 1
}
>

常用的内置角色：

  • 数据库用户角色：read、readWrite;

  • 所有数据库用户角色：readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase

  • 数据库管理角色：dbAdmin、dbOwner、userAdmin；

  • 集群管理角色：clusterAdmin、clusterManager、clusterMonitor、hostManager；

  • 备份恢复角色：backup、restore；

  • 超级用户角色：root

  • 内部角色：system

角色说明：

角色权限描述
read可以读取指定数据库中任何数据。
readWrite可以读写指定数据库中任何数据，包括创建、重命名、删除集合。
readAnyDatabase可以读取所有数据库中任何数据(除了数据库config和local之外)。
readWriteAnyDatabase可以读写所有数据库中任何数据(除了数据库config和local之外)。
userAdminAnyDatabase可以在指定数据库创建和修改用户(除了数据库config和local之外)。
dbAdminAnyDatabase可以读取任何数据库以及对数据库进行清理、修改、压缩、获取统计信息、执行检查等操作(除了数据库config和local之外)。
dbAdmin可以读取指定数据库以及对数据库进行清理、修改、压缩、获取统计信息、执行检查等操作。
userAdmin可以在指定数据库创建和修改用户。
clusterAdmin可以对整个集群或数据库系统进行管理操作。
backup备份MongoDB数据最小的权限。
restore从备份文件中还原恢复MongoDB数据(除了system.profile集合)的权限。
root超级账号，超级权限

单机安全认证实现流程

创建 mydb1 数据库并创建了两个用户，zhangsan 拥有读写权限，lisi 拥有只读权限测试这两个账户的权限。

以超级管理员登录测试权限。

创建管理员

MongoDB 服务端开启安全检查之前，至少需要有一个管理员账号，admin 数据库中的用户都被视为管理员

如果 admin 库没有任何用户的话，即使在其他数据库中创建了用户，启用身份验证，默认的连接方式

依然会有超级权限，即仍然可以不验证账号密码照样能进行 CRUD，安全认证相当于无效。

use admin
switched to db admin
> db
admin
> db.createUser(
	{
	     user:"root",
		 pwd:"123456",
	 	 roles:[{role:"root",db:"admin"}]
   })

查看当前已存在的用户

db.system.users.find().pretty()
{
	"_id" : "admin.root",
	"userId" : UUID("a9222f44-0121-402b-9248-e7af436ac135"),
	"user" : "root",
	"db" : "admin",
	"credentials" : {
		"SCRAM-SHA-1" : {
			"iterationCount" : 10000,
			"salt" : "/IMIV9ouZCT9QUZ5LyyTRA==",
			"storedKey" : "cCNJHUx6KGz02v6Px6kpSMtcu2w=",
			"serverKey" : "eOCNuJz/2d/vSCN2R7aSFtgPQbU="
		},
		"SCRAM-SHA-256" : {
			"iterationCount" : 15000,
			"salt" : "gXIwslRQyy6reGYG9O6j8cDjKGmVa/C5AoAHqQ==",
			"storedKey" : "YJg316Z2vckJtzukw+o+FkvjZZ4wsxUG7DRDNV9i6qE=",
			"serverKey" : "CnGoL8nEbECABluQX+X0rRgknFvioesbHScwRyOQAi8="
		}
	},
	"roles" : [
		{
			"role" : "root",
			"db" : "admin"
		}
	]
}

认证测试

> db.auth("root","124")
Error: Authentication failed.
0
> db.auth("root","123456")
1

创建普通用户

创建普通用户可以在没有开启认证的时候添加，也可以在开启认证之后添加，但开启认证之后，必须使用有操作admin库的用户登录认证后才能操作。底层都是将用户信息保存在了admin数据库的集合system.users中。

//创建(切换)将来要操作的数据库articledb,一定要切换到需要创建的用户的库才能执行下面的创建操作
> use articledb
switched to db articledb
> db.createUser({user: "bobo", pwd: "123456", roles: [{ role: "readWrite", db:"articledb" }]})
Successfully added user: {
	"user" : "bobo",
	"roles" : [
		{
			"role" : "readWrite",
			"db" : "articledb"
		}
	]
}
> db.auth('bobo','123456')
1

接着从客户端关闭 MongoDB 服务端，之后服务端会以安全认证方式进行启动

use admin

db.shutdownServer()

服务端开启认证和客户端连接登录

需要几个条件：

有两种方式开启权限认证启动服务：一种是参数方式，一种是配置文件方式。
1）参数方式
在启动时指定参数–auth ，如：

./bin/mongod -f mongod.conf --auth

(2) 配置文件方式
在mongod.conf配置文件中加入：

vim /mongodb/single/mongod.conf

	security:
	#开启授权认证
		authorization: enabled

启动时可不加–auth 参数 :

	./bin/mongod -f mongod.conf

（3）开启了认证的情况下的客户端登录
有两种认证方式，一种是先登录，在mongo shell中认证；一种是登录时直接认证。

  1. 先连接再认证
    ./bin/mongo
MongoDB shell version v4.2.13
connecting to: mongodb://127.0.0.1:27017/?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("f92d52b9-83be-4a36-a7ca-c1944be128d8") }
MongoDB server version: 4.2.13
>
    提示：
    开启认证后再登录，发现打印的日志比较少了。
    相关操作需要认证才可以：
    查询admin库中的system.users集合的用户：
    > use admin
switched to db admin
> db.system.users.find()
Error: error: {
	"ok" : 0,
	"errmsg" : "command find requires authentication",
	"code" : 13,
	"codeName" : "Unauthorized"
}
> db.auth('root','123456')
1
> db.system.users.find()
    查询articledb库中的comment集合的内容：
    use articledb
switched to db articledb
> db.comment.find()
Error: error: {
	"ok" : 0,
	"errmsg" : "command find requires authentication",
	"code" : 13,
	"codeName" : "Unauthorized"
}
> db.auth('bobo','123456')
  2. 连接时直接认证
    对admin数据库进行登录认证和相关操作：
    /bin/mongo --authenticationDatabase admin -u root -p 123456

/bin/mongo --authenticationDatabase articledb-u bobo-p 123456

分片集群安全认证

第一步：生成一个key文件到当前文件夹中。
可以使用任何方法生成密钥文件。例如，以下操作使用openssl生成密码文件，然后使用chmod来更改文件权限，仅为文件所有者提供读取权限

openssl rand -base64 90 -out ./mongo.keyfile
chmod 400 ./mongo.keyfile

提示：
所有副本集节点都必须要用同一份keyfile，一般是在一台机器上生成，然后拷贝到其他机器上，并且权限为600 或者 400，否则将来会报错： permissions on /mongodb/replica_sets/myrs_27017/mongo.keyfile are too open
一定要保证密钥文件一致，文件位置随便。但是为了方便查找，建议每台机器都放到一个固定的位置，都放到和配置文件一起的目录中。

配置节点集群和分片节点集群开启安全认证和指定密钥文件

修改配置文件指定keyfile
分别编辑几个服务的mongod.conf文件，添加相关内容：

security:
#KeyFile鉴权文件
    keyFile: /root/mongodb/mongodb/mongo.keyfile
##开启认证方式运行
    authorization: enabled

在路由配置文件中 设置密钥文件

security:
#KeyFile鉴权文件
    keyFile: /root/mongodb/mongodb/mongo.keyfile

说明：单独在路由上加了权限认证后 ，默认无法单独进入具体的分片查看数据 ，如果想单独进入分片查看数据则需要和路由权限认证方式相同的操作，去给配置主节点以及每个分片主节点都加相同用户名和密码的权限认证

Spring boot 连接安全认证的分片集群

先创建articledb，同时添加用户

use articledb
db.comment.insertOne({'articleid':'100001','content':'早饭还得吃热的','userid':'1005','nickname':'伊人憔悴','createdatetime':new ISODate('2020-08-05T23:58:51.485Z'),'likenum':NumberInt(1024),'state':'1'});
db.createUser({user:"elvis", pwd:"123456", roles:[{role:"readWrite", db:"articledb"}]})

  然后修改之前使用的springboot工程做修改，这里碰到个奇怪的地方，我使用uri访问的时候能正常，但是用下面的配置用户名密码的方式就是返回认证失败，暂时不知道原因，同时这里也不能使用创建的root用户访问，只能使用在相应的表中创建的用户登录才能认证成功。

spring:
  data:
    mongodb:
      uri: mongodb://elvis:123456@192.168.31.10/articledb
#      username: elvis
#      password: 123456
#      host: 192.168.31.10
#      port: 27017
#      database: articledb
biu~biu~biu_
关注
专栏目录
mongodb 3.x用户认证
uevol14的博客
12-26 2681
mongodb 认证的方式有多种，如password认证,kerberos认证,ldap认证等等,这里主要讲的是密码认证,也是用的最多的，使用–auth选项开启认证。创建管理员用户在开启验证之前必须创建一个管理员用户,管理员用户拥有userAdminAnyDatabase角色.此角色拥有管理用户的权限,注意此角色并不是最大权限的角色。use admin switched to db admin db
mongodb认证
qq_31986651的博客
10-30 148
配置账号和密码 　　1.开启认证 　　　MongoDB默认安装完成以后，只允许本地连接，同时不需要使用任何账号密码就可以直接连接MongoDB，这样就容易被黑，让支付一些比特币，所以为了避免这些不 必要的麻烦，所以我们需要给Mongo设置一个账号密码； [root@iZ2ze2pbbffhmn53ao4tuaZ bin]# ./mongod --auth # 启用认证 使用do...
# mongodb_基础到进阶 -- MongoDB 高级--MongoDB 集群部署与安全性（三）
最新发布
段子手168的博客
08-02 574
# mongodb_基础到进阶 -- MongoDB 高级--MongoDB 集群部署与安全性（三） 11 分片概念&架构目标 12 分片第一套和第二套副本集搭建 13 配置副本集搭建 14 初始化三套副本集
MongoDB 认证
黑土墨
10-28 833
简介对MongoDB进行访问控制就是在访问之前先对用户校验，只有当用户有相关权限是才能根据角色执行相关操作。MongoDB支持各种认证机制，具体请查看Authentication Mechanisms。下面使用单独的mongod实例和默认的认证机制说明访问控制。复制集和集群当访问控制可用时，复制集和集群需要内部认证。详细介绍请查看Internal Authentication。管理员当访问控制可用时
MongoDB的安全认证详解
Innocence_0的博客
02-29 2668
内置角色只能控制User在DB级别上执行的操作，管理员可以创建自定义角色，控制用户在集合级别（Collection-Level）上执行的操作，即，控制User在当前DB的特定集合上执行特定的操作。Scope：角色作用的范围，创建在Admin中的角色，能够在其他DB中使用；在其他DB中创建的角色，只能在当前DB中使用；Resource：角色控制的资源，表示授予在该资源上执行特定操作的权限；
史上最全MongoDB之安全认证
janyxe的博客
06-30 1395
本系列课程将带着大家以面试题的方式 深入分布式专题之MongoDB。这篇文章带着大家深入MongoDB安全认证查看角色列表 创建用户 创建用户 授权用户权限 授权账号登录
MongoDB安全认证.pdf
07-11
MongoDB 安全认证 MongoDB 安全认证是 MongoDB 中的安全机制，用于保护 MongoDB 数据库免受非法访问和操作。 MongoDB 安全认证可以分为单服务器认证和副本集认证两种情况。 单服务器认证 在单服务器中，MongoDB ...
MongoDB 安全认证(登录时，账户和密码的验证)
cjy_lean的博客
04-28 1921
MongoDB 安全认证 MongoDB安全主要包括以下4个方面 　　1、物理隔离 　　系统不论设计的多么完善，在实施过程中，总会存在一些漏洞。如果能够把不安全的使用方与MongoDB数据库做物理上的隔离，即通过任何手段都不能连接到数据库，这是最安全的防护。但，通常这是不现实的。一些重要的数据可能会保存下来，放置到物理隔离的机房中 　　2、网络隔离 　　许多公司的开发机处于内网环境中。即...
MongoDB安全及身份认证(实例讲解)
12-16
本文将详细介绍MongoDB安全相关的内容 概述 MongoDB安全主要包括以下4个方面 1、物理隔离 系统不论设计的多么完善，在实施过程中，总会存在一些漏洞。如果能够把不安全的使用方与MongoDB数据库做物理上的隔离，即...
mongodb授权登录
weixin_30608131的博客
02-03 85
mongodb版本为3.2（目前最新），演示的是linux下的mongodb授权认证 第一次登录不启动授权（mongo默认不启动） 　　 ./mongod --dbpath=/home/db/data --logpath=/home/db/logs/mongodb.log 　　接着使用 ./mongo 命令连接数据库 ./mongo 　　切换到admin数...
mongodb 认证及登陆
weixin_38367535的博客
08-07 288
文章参考：https://blog.csdn.net/qq_25842063/article/details/82670764 权限表 test:PRIMARY> use admin switched to db admin # 创建管理用户的用户 test:PRIMARY> db.createUser({user:"userAdmin",pwd:"admin123456",roles:["userAdminAnyDatabase"]}) Successfully a...
MongoDB数据库授权认证
热门推荐
江晓龙的博客
12-28 1万+
MongoDB数据库授权认证 文章目录MongoDB数据库授权认证1.与用户相关的命令2.配置mongodb登陆授权认证2.1.创建一个用户2.2.修改配置文件启用用户认证2.3.重启mongodb2.4.使用口令登陆mongodb3.授权用户并赋予多个权限3.1.创建用户并制造数据3.2.使用mytest登录test库验证权限3.3.使用mytest登录test2库验证权限 1.与用户相关的命令 db.auth() 将用户验证到数据库。 db.changeUserPassword() 更改现有用户的密码。
mongodb 认证方式(version:3.0.4)
KatherineJi的博客
08-31 772
之前一直在本机上跑，前段时间把后台架到云服务器上了，在settings里加上了username和password，希望同步的时候修改一下settings就能在本地测试。因为云服务器端数据库连接需要验证，于是在本地也打算加上身份验证，而mongodb默认是没有验证的。在网上搜索了一下，方法都比较旧，主要是在本地的mongodb中新增一个user： 进入mongodb下的binmongodb $ cd
mongodb开启权限认证
HouYing
07-25 2731
1.启动mongdb，不带权限认证 show dbs; use admin db.createUser({user:"admin",pwd:"admin",roles:[{role:"root",db:"admin"}]}) use testdb db.col.insert({title: 'MongoDB 教程'}) db.createUser({user: "user1", pwd: "u...
mongdb安全认证详解
m0_63040701的博客
07-12 557
dbAdminAnyDatabase 可以读取任何数据库并对库进行清理、修改、压缩，获取统计信息、执行检查等操作，除了数据库config和local之外。创建mydb数据库并创建两个用户，zhangsan 拥有读写权限，lisi 拥有只读权限测试这两个账户的权限。而且执行 show dbs 命令，以及 show tables 等命令都是失败的，即使没有被安全认证的数据库，用户同样操作不了，普通用户现在仍然像以前一样进行登录，如下所示直接登录进入 mydb数据库中，登录是成功的，只是登录后日志少了很多东西，
希尔排序与MongoDB安全认证：备考经验与策略
本文主要介绍了希尔排序方法在MongoDB副本集和分片集群中的应用，以及安全认证方面的内容，针对的是杭州电子科技大学（杭电）计算机科学与技术专业的考研经验分享。作者是一位18届的考生，他以自身的经历讲述了备考...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值