Neo4j安全机制如何配置

Neo4j安全机制配置指南

一、基础安全配置

1. 启用身份验证

身份验证是防止未授权访问的第一道防线。需在Neo4j配置文件（neo4j.conf）中设置：
dbms.security.auth_enabled=true
修改后重启Neo4j服务，强制要求用户提供有效用户名和密码登录。

2. 配置传输层加密（SSL/TLS）

通过SSL/TLS加密客户端与服务器之间的通信，防止数据截获。关键配置项：

• 启用BOLT连接器：dbms.connector.bolt.enabled=true
• 设置TLS级别为必用：dbms.connector.bolt.tls_level=REQUIRED
• 指定证书和密钥路径（需提前生成自签名或CA签发证书）：
  dbms.connector.bolt.ssl_policy=my_policy
dbms.ssl.policy.my_policy.base_directory=certificates/bolt
dbms.ssl.policy.my_policy.certificate_file=neo4j.crt
dbms.ssl.policy.my_policy.private_key_file=neo4j.key。

3. 限制网络访问

通过防火墙或neo4j.conf限制访问IP，仅允许可信地址连接：
dbms.connector.bolt.listen_address=0.0.0.0:7687（修改为具体IP，如192.168.1.100:7687）
dbms.connector.http.listen_address=0.0.0.0:7474（同理限制HTTP端口）。

二、用户与权限管理

1. 用户管理

• 创建用户：使用Cypher命令创建用户并设置强密码（包含大小写字母、数字、特殊字符，长度≥8位）：
  CREATE USER 'admin' WITH PASSWORD 'YourStrongPassword123!'
• 修改密码：定期更新密码以降低泄露风险：
  ALTER USER 'admin' SET PASSWORD 'NewStrongPassword456!'。

2. 角色与权限分配

采用最小权限原则，为用户分配仅满足需求的最小权限：

• 创建角色：CREATE ROLE reader（只读）、CREATE ROLE writer（读写）、CREATE ROLE admin（管理员）
• 分配权限：
  • 读者角色：GRANT READ ON *.* TO reader（允许读取所有数据）
  • 写者角色：GRANT READ, WRITE ON *.* TO writer（允许读写所有数据）
  • 管理员角色：GRANT ALL PRIVILEGES ON *.* TO admin（允许所有操作）
• 分配用户角色：GRANT ROLE reader TO 'app_user'（将读者角色赋予应用用户）。

三、高级安全配置

1. 集成外部身份验证（如LDAP/Kerberos）

对于企业环境，可通过外部身份提供者（IdP）集中管理用户身份：

• LDAP集成：在neo4j.conf中配置LDAP服务器信息：
  dbms.security.ldap.host=ldap.example.com
dbms.security.ldap.port=389
dbms.security.ldap.authorization.use_system_account=true
dbms.security.ldap.authorization.system_username=cn=neo4jservice,ou=IT,dc=example,dc=com
dbms.security.ldap.authorization.system_password=ServicePassword
dbms.security.ldap.authorization.user_search_base=ou=Users,dc=example,dc=com
dbms.security.ldap.authorization.user_search_filter=(&(objectClass=user)(sAMAccountName={0}))
dbms.security.ldap.authorization.group_membership_attributes=memberOf
dbms.security.ldap.authorization.group_to_role_mapping= "cn=Neo4jReaders,ou=Groups,dc=example,dc=com" = reader; "cn=Neo4jWriters,ou=Groups,dc=example,dc=com" = writer
• Kerberos集成：需部署Neo4j Kerberos Add-on（kerberos-add-on.jar放入plugins/目录），配置krb5.conf（KDC信息）和kerberos.conf（keytab路径），并在neo4j.conf中启用：
  dbms.security.authentication_providers=plugin-Neo4j-Kerberos
dbms.security.authorization_providers=ldap（结合LDAP做授权）。

2. 审计日志

启用审计日志记录所有安全相关事件（登录、权限变更、查询执行），便于事后追溯：
dbms.security.audit.enabled=true
dbms.security.audit.log_path=logs/audit.log（指定日志路径）
dbms.security.audit.retention_period=30d（日志保留30天）。

3. 登录安全策略

通过配置限制登录尝试次数和账户锁定，防止暴力破解：
dbms.security.login.attempt_limit=5（允许5次失败尝试）
dbms.security.login.attempt_window=5m（5分钟内）
dbms.security.account_locking.enabled=true（启用账户锁定）
dbms.security.account_locking.failure_count=5（5次失败后锁定）
dbms.security.account_locking.unlock_time=30m（锁定30分钟后自动解锁）。

四、日常维护建议

• 定期更新：保持Neo4j及依赖组件（如JDK）为最新版本，及时修复安全漏洞。
• 备份与恢复：定期备份数据库（使用neo4j-admin backup命令），并将备份文件存储在安全位置（如加密存储、异地备份）。
• 监控与告警：通过监控工具（如Prometheus+Grafana）监控数据库活动，设置异常告警（如频繁登录失败、大量数据导出）。