MongoDB安全的3A -- 认证（Authentication）、授权（Authorization）和审计（Audit

MongoDB安全的3A -- 认证（Authentication）、授权（Authorization）和审计（Auditing）

英文原文：

http://blog.mongodirector.com/the-three-as-of-mongodb-security-authentication-authorization-auditing/

 

 

MongoDB公司在过去的18个月取得了令人印象深刻的进步。该产品的最具重大意义的提高之一是安全方面。安全对于生产数据库是最重要的。现有关系型数据库提供了大量的插件和空间来帮助DBA管理数据库安全并且MongoDB也越来越类似。本文我们将深入认证（Authentication）、授权（Authorization）和审计（Auditing）方面。

 

1. 认证（Authentication）

MongoDB提供了大量的用户连接到数据的认证机制。选择提供安全和管理最好的平衡的机制。尽管认证是可选的，但推荐的安全实践是所有的生产系统启用认证。

 

质疑应答认证（Challenge Response Authentication（MongoDB-CR））

这是传统的基于用户名密码的认证。用户可以在一个数据库或整个集群范围创建。如果一个用户只须在特定的数据库访问数据，推荐只在该数据库创建用户。集群级别的访问应该限制给管理员。

 

X.509证书认证（X.509 certificate Authentication）

用户可以使用X.509证书认证到他们的MongoDB数据库。为了实现它，MongoDB实例需要启用SSL。默认MongoDB社区版没有启用SSL。你需要转向你自己的版本或者注册使用企业版。你可以使用唯一的标题对每个X.509证书在MongoDB创建一个用户。更多操作向导细节参考MongoDB X.509 certificate setup指南。

 

Kerberos认证（Kerberos Authentication）

MongoDB企业版支持使用Kerberos认证，它是一个客户端/服务器认证的行业标准。例如，如果你是一个安装有活动目录（Active Directory）的企业，可以使用Kerberos认证机制认证用户 – 这避免了管理用户名/密码或者证书的麻烦。点击这里获取集成MongoDB到活动目录的指南。

 

2. 授权（Authorization）

授权系统决定了用户可以执行什么操作，一旦他们完成授权。MongoDB支持基于角色的访问控制（RBAC）模型。每个用户分配特定的角色，决定了他允许执行什么操作。MongoDB有一批内置角色并且你也可以创建你自己的角色。每个角色分配了一批对资源允许操作的权限。MongoDB在以下范围提供了内置角色：

 

数据库用户角色（Database user roles） -- read, readWrite

数据库管理员角色（Database administrator roles） -- dbAdmin, dbOwner, userAdmin

集群管理员角色（Cluster administrator roles） -- clusterAdmin, clusterManager, clusterMonitor, hostManager

备份和恢复角色（Backup and restore roles） -- backup, restore

所有数据库角色（All Database roles） -- readAnyDatabase, readWriteAnyDatabase, userAdminAnyDatabase

超级用户角色（Superuser roles） – root

 

参考内置角色文档，更详细的理解需要分配给用户的角色。

 

3. 审计（Auditing）

MongoDB 2.6企业版增加了对审计的支持。你可以配置MongoDB实例，对于感兴趣的MongoDB操作，像用户登录、DDL修改、复制集配置修改等，生成审计事件。这能让你使用已经存在企业审计工具来获取和处理需要的事件。更详细的信息参考MongoDB可被审计的事件列表。

 

更多关于提高MongoDB数据库性能的技巧，请参考我们的其他博客文章 – 10 tips to improve your MongoDB security