Debian MongoDB安全設置指南

在Debian系統上設置MongoDB的安全配置是一個重要的步驟，以確保數據庫的安全性。以下是一個詳細的指南，涵蓋了從安裝到安全配置的各個方面。

安裝MongoDB

在Debian上安裝MongoDB可以通過官方倉庫或使用APT包管理器來實現。以下是使用APT包管理器的步驟：

1. 導入MongoDB官方GPG密鑰：

wget -qO - https://www.mongodb.org/static/pgp/server-4.4.asc | sudo apt-key add -

2. 創建MongoDB列表文件：

echo "deb [archamd64,arm64] https://repo.mongodb.org/apt/debian bullseye/mongodb-org/4.4 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.4.list

3. 更新APT包數據庫：

sudo apt-get update

4. 安裝MongoDB：

sudo apt-get install -y mongodb-org

配置MongoDB

啟用身份驗證

在 /etc/mongod.conf 文件中啟用身份驗證：

security:
  authorization: enabled

保存文件后，重啟MongoDB服務以應用更改：

sudo systemctl restart mongod

創建管理員賬戶

連接到MongoDB實例并創建管理員賬戶：

mongo -u admin -p --authenticationDatabase admin

在MongoDB shell中創建用戶并分配角色，例如：

use admin
db.createUser({ user: "myUserAdmin", pwd: "myStrongPassword", roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]})

網絡隔離

通過配置 bindIp 參數限制MongoDB實例只能從特定IP地址訪問。例如，只允許本機訪問：

net:
  port: 27017
  bindIp: 127.0.0.1

SSL/TLS加密

為MongoDB配置SSL/TLS以加密客戶端和服務器之間的通信。需要生成SSL證書和密鑰，然后在 mongod.conf 中配置：

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /path/to/mongodb.pem

重啟MongoDB服務以應用更改：

sudo systemctl restart mongod

角色管理

使用內置角色或創建自定義角色來控制用戶對數據庫的訪問權限。例如，創建一個具有讀寫權限的用戶：

use mydatabase
db.createUser({ user: "myuser", pwd: "mypassword", roles: [ { role: "readWrite", db: "mydatabase" } ]})

安全審計

啟用審計功能，記錄用戶的操作行為，有助于追蹤和監控數據庫的使用情況。在 mongod.conf 中配置審計日志：

security:
  auditLog:
    destination: file
    format: JSON
    path: /var/log/mongodb/audit.json

重啟MongoDB服務以應用更改：

sudo systemctl restart mongod

防火墻配置

使用iptables或其他防火墻軟件限制對MongoDB端口的訪問，確保只有受信任的網絡可以訪問MongoDB實例。如果你使用的是 ufw 防火墻，可以按照以下步驟操作：

sudo ufw allow from trusted_ip_address/32 port 27017
sudo ufw reload

將 trusted_ip_address 替換為受信任的IP地址。

定期更新和維護

保持MongoDB和Debian系統的更新，以便及時修復已知的安全漏洞。定期檢查和更新MongoDB的配置文件，以確保所有安全設置都是最新的。

通過以上步驟，你可以在Debian系統上安全地設置MongoDB。務必定期更新和維護這些安全設置，以應對不斷變化的安全威脅。