mongodb的认证、授权、审计

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/welcome66/article/details/84911160

 

 1. 认证(Authentication)


MongoDB提供了大量的用户连接到数据的认证机制。选择提供安全和管理最好的平衡的机制。尽管认证是可选的,但推荐的安全实践是所有的生产系统启用认证。

质疑应答认证(Challenge Response Authentication(MongoDB-CR))

这是传统的基于用户名密码的认证。用户可以在一个数据库或整个集群范围创建。如果一个用户只须在特定的数据库访问数据,推荐只在该数据库创建用户。集群级别的访问应该限制给管理员。

X.509证书认证(X.509 certificate Authentication)

用户可以使用X.509证书认证到他们的MongoDB数据库。为了实现它,MongoDB实例需要启用SSL。默认MongoDB社区版没有启用SSL。你需要转向你自己的版本或者注册使用企业版。你可以使用唯一的标题对每个X.509证书在MongoDB创建一个用户。更多操作向导细节参考MongoDB X.509 certificate setup指南。

Kerberos认证(Kerberos Authentication)

MongoDB企业版支持使用Kerberos认证,它是一个客户端/服务器认证的行业标准。例如,如果你是一个安装有活动目录(Active Directory)的企业,可以使用Kerberos认证机制认证用户 – 这避免了管理用户名/密码或者证书的麻烦。点击这里获取集成MongoDB到活动目录的指南。

2. 授权(Authorization)

授权系统决定了用户可以执行什么操作,一旦他们完成授权。MongoDB支持基于角色的访问控制(RBAC)模型。每个用户分配特定的角色,决定了他允许执行什么操作。MongoDB有一批内置角色并且你也可以创建你自己的角色。每个角色分配了一批对资源允许操作的权限。MongoDB在以下范围提供了内置角色:

数据库用户角色(Database user roles) -- read, readWrite
数据库管理员角色(Database administrator roles) -- dbAdmin, dbOwner, userAdmin
集群管理员角色(Cluster administrator roles) -- clusterAdmin, clusterManager, clusterMonitor, hostManager
备份和恢复角色(Backup and restore roles) -- backup, restore
所有数据库角色(All Database roles) -- readAnyDatabase, readWriteAnyDatabase, userAdminAnyDatabase
超级用户角色(Superuser roles) – root

参考内置角色文档,更详细的理解需要分配给用户的角色。

3. 审计(Auditing)

MongoDB 2.6企业版增加了对审计的支持。你可以配置MongoDB实例,对于感兴趣的MongoDB操作,像用户登录、DDL修改、复制集配置修改等,生成审计事件。这能让你使用已经存在企业审计工具来获取和处理需要的事件。更详细的信息参考MongoDB可被审计的事件列表。

展开阅读全文

没有更多推荐了,返回首页