MongoDB配置Ubuntu时的安全策略有哪些

MongoDB 在 Ubuntu 的安全策略清单

一 身份与访问控制

• 启用认证：在配置文件 /etc/mongod.conf 中开启 security.authorization: enabled，重启服务后所有客户端必须提供凭据。
• 创建管理员与最小权限账户：在 admin 库创建高权限账户（如 root 或 userAdminAnyDatabase），并为业务库按需创建仅具 readWrite 等最小权限的用户，遵循最小权限原则。
• 连接时显式指定认证库：例如使用 mongosh -u admin -p --authenticationDatabase admin 登录，避免凭据与库不匹配导致访问失败。

二 网络与端口防护

• 绑定地址最小化：将 net.bindIp 设为 127.0.0.1（仅本机）或指定的内网地址（如 192.168.x.x/10.x.x.x/172.16–31.x.x），避免直接暴露到公网；如确需远程，仅开放给受控网段。
• 防火墙精细化放行：使用 UFW 仅允许可信来源访问 27017/tcp，例如仅允许某台应用服务器或管理网段；默认拒绝其他来源。
• 端口与占用检查：确认 27017 未被其他进程占用，且云安全组/本机防火墙策略一致收敛。

三 加密与传输安全

• 启用 TLS/SSL：在 net.ssl 中设置 mode: requireSSL，提供 PEMKeyFile 与 CAFile，并关闭不安全选项（如 sslAllowInvalidCertificates: false），确保客户端与服务器之间的数据链路加密。
• 证书管理：使用受信任 CA 签发证书，妥善管控私钥，定期轮换；内部网络亦建议启用加密以避免旁路泄露。

四 系统与服务加固

• 运行身份与目录权限：使用专用的 mongod 系统用户运行进程，确保数据目录（如 /var/lib/mongodb）、日志目录（如 /var/log/mongodb）权限最小化，仅该用户可读写。
• 资源与内核参数：为 mongod 配置合理的 ulimit（如 nofile、nproc 至至少 64000），禁用 透明大页（THP） 以降低延迟抖动并提升稳定性，按需调整 vm.max_map_count、fs.file-max 等内核参数。
• 审计与日志：开启并落盘 systemLog（如 destination: file、path: /var/log/mongodb/mongod.log、logAppend: true），必要时启用审计日志以追踪敏感操作；持续用 mongostat/mongotop 与监控平台进行可用性观测。

五 运维与备份

• 定期备份与恢复演练：使用 mongodump 制定周期性备份策略（含离线/异地副本），并进行定期恢复演练验证可用性。
• 变更与版本管理：变更前备份配置与数据，保持 MongoDB 与 Ubuntu 的安全补丁为最新稳定版本，遵循官方仓库安装与升级流程。