如何安全地安装MongoDB？

安全MongoDB安装指南

背景介绍

在当今信息化飞速发展的时代，数据安全变得至关重要，MongoDB 作为一种高性能、开源且无模式的文档型 NoSQL 数据库，被广泛应用于各类数据存储场景，默认安装的 MongoDB 存在一定的安全隐患，因此如何安全地安装配置 MongoDB 成为了每个开发者和系统管理员必须掌握的技能，本文将详细介绍如何在各种操作系统上安全地安装 MongoDB，并提供相关的安全配置建议。

一、准备工作

系统要求

操作系统：Windows、Linux（如Ubuntu、CentOS等）、macOS

硬件要求：根据数据量和访问需求调整，但一般需要足够的RAM和存储空间

下载对应版本的MongoDB

前往[官方MongoDB下载页面](https://www.mongodb.com/try/download/community)，选择适合自己系统的安装包并下载。

创建用户和目录

为MongoDB创建一个独立的用户和组，以限制其权限。

    sudo groupadd mongodb
    sudo useradd -g mongodb -m -d /var/lib/mongodb -s /bin/false mongodb

创建所需的目录并设置适当的权限。

    sudo mkdir -p /var/lib/mongodb
    sudo chown -R mongodb:mongodb /var/lib/mongodb

二、安装步骤

Ubuntu/Debian

1.1 添加MongoDB仓库

打开终端并运行以下命令：

wget -qO https://www.mongodb.org/static/pgp/server-6.0.asc | sudo apt-key add -
echo "deb [arch=amd64,arm64] https://repo.mongodb.org/apt/ubuntu focal/mongodb-org/6.0 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-6.0.list

1.2 更新包列表

sudo apt-get update

1.3 安装MongoDB

sudo apt-get install -y mongodb-org

1.4 启动MongoDB服务

sudo systemctl start mongod

1.5 设置开机自启

sudo systemctl enable mongod

CentOS/RHEL

2.1 添加MongoDB仓库

sudo yum install -y yum-utils
sudo yum-config-manager --add-repo https://repo.mongodb.org/yum/redhat/7Server/mongodb-org/6.0/x86_64/mongodb-org-6.0.repo
sudo yum makecache fast

2.2 安装MongoDB

sudo yum install -y mongodb-org

2.3 启动MongoDB服务

sudo systemctl start mongod

2.4 设置开机自启

sudo systemctl enable mongod

Windows

3.1 下载安装包

从MongoDB官网下载适用于Windows的安装包。

3.2 自定义安装

双击安装包，选择“Custom”安装方式，指定安装路径和数据目录。

3.3 配置环境变量

将MongoDB的bin目录添加到系统的PATH环境变量中。

3.4 安装完成验证

通过任务管理器查看MongoDB服务是否正常运行。

三、安全配置

绑定IP地址

编辑MongoDB配置文件，通常位于/etc/mongod.conf或C:Program FilesMongoDBServer{version}binmongod.cfg。

net:
  bindIp: 127.0.0.1,::1 # 仅绑定本地回环地址

保存后重启MongoDB服务。

sudo systemctl restart mongod

启用身份验证和授权

2.1 创建管理员账户

连接到MongoDB实例：

mongo

切换到admin数据库：

use admin

创建管理员用户：

db.createUser({
  user: "admin",
  pwd: "your_password",
  roles: [{role: "userAdminAnyDatabase", db: "admin"}, {role: "readWriteAnyDatabase", db: "admin"}]
})

2.2 启用身份验证

编辑MongoDB配置文件，添加以下内容：

security:
  authorization: enabled

保存后重启MongoDB服务。

sudo systemctl restart mongod

2.3 创建普通用户

连接到MongoDB实例：

mongo -u "admin" -p "your_password" --authenticationDatabase "admin"

使用admin用户创建其他数据库用户：

use your_database
db.createUser({
  user: "normalUser",
  pwd: "normalPassword",
  roles: [{role: "readWrite", db: "your_database"}]
})

防火墙配置

确保防火墙只允许特定的IP地址访问MongoDB端口（默认27017），在Ubuntu上使用UFW：

sudo ufw allow from <trusted_ip> to any port 27017
sudo ufw enable

在CentOS上使用FirewallD：

sudo firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=<trusted_ip> port protocol=tcp port=27017 accept"
sudo firewall-cmd --reload

加密通信

启用TLS/SSL来加密客户端与服务器之间的通信，首先生成证书和密钥文件：

openssl req -newkey rsa:4096 -nodes -keyout mongod.key -x509 -days 365 -out mongod.crt

编辑MongoDB配置文件，添加以下内容：

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /path/to/mongod.pem

保存后重启MongoDB服务。

sudo systemctl restart mongod

客户端连接时需要指定证书文件：

mongo --ssl --sslCAFile /path/to/ca.crt --sslPEMKeyFile /path/to/client.pem --sslCertFile /path/to/client.crt

四、常见问题及解决

1.问题1：无法连接到MongoDB实例？

解答：检查MongoDB服务是否正在运行，防火墙设置是否正确，以及配置文件中的绑定IP地址是否设置正确，如果问题依然存在，可以查看MongoDB日志文件以获取更多信息。

2.问题2：忘记MongoDB管理员密码怎么办？

解答：可以通过重新启动MongoDB实例并跳过访问控制的方式来重置密码，具体操作如下：

停止MongoDB服务：

sudo systemctl stop mongod

重新启动MongoDB服务并跳过访问控制：

mongod --skipRepair --port 27018 --dbpath /var/lib/mongodb --logpath /var/log/mongodb.log --fork --rest

连接到新的MongoDB实例：

mongo --port 27018

切换到admin数据库并创建新用户：

use admin;
db.createUser({user:"admin", pwd:"new_password", roles:[{role:"userAdminAnyDatabase", db:"admin"}, "readWriteAnyDatabase"]});

小伙伴们，上文介绍了“安全mongodb如何安装”的内容，你了解清楚吗？希望对你有所帮助，任何问题可以给我留言，让我们下期再见吧。