原文轉載地址：https://blog.csdn.net/singgel/article/details/79407774

Mongodb enable authentication

MongoDB 預設直接連線，無須身份驗證，如果當前機器可以公網訪問，且不注意Mongodb 埠（預設 27017）的開放狀態，那麼Mongodb就會產生安全風險，被利用此配置漏洞，入侵資料庫。

容易遭受入侵的環境

• 使用預設 mongod 命令啟動 Mongodb
• 機器可以被公網訪問
• 在公網上開放了 Mongodb 埠

安全風險

• 資料庫隱私洩露
• 資料庫被清空
• 資料庫執行緩慢

解決方案

1. 禁止公網訪問 Mongodb 埠

1.1 網路配置

由於網路配置因人而異，需要根據自己實際環境進行配置，不作冗述。大致可以從以下方面禁止。

• 在路由器中關閉埠轉發
• 防火牆 iptables 禁止訪問

1.2 驗證埠能否訪問方式

在外網機器命令列中執行

telnet your.machine.open.ip 27017

2. 啟用驗證

2.1 建立使用者管理員賬戶

當前資料庫版本：Mongodb 3.4

使用 mongod 啟動資料庫
新建終端

mongod --port 27017 --dbpath /data/db1

引數預設可以不加，若有自定義引數，才要加上，下同。

另起一個終端，執行下列命令

mongo --port 27017

use admin

db.createUser(
  {
    user: "adminUser",
    pwd: "adminPass"
 
,
    roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
  }
)

管理員建立成功，現在擁有了使用者管理員
使用者名稱：lyl
密碼：123456
然後，斷開 mongodb 連線， 關閉資料庫
兩個終端下 <C - c>

2.2 Mongodb 使用者驗證登陸

啟動帶訪問控制的 Mongodb
新建終端

mongod --auth --port 27017 --dbpath /data/db1

現在有兩種方式進行使用者身份的驗證
第一種 （類似 MySql）
客戶端連線時，指定使用者名稱，密碼，db名稱

mongo --port 27017 -u "lyl"
 
 -p "123456" --authenticationDatabase "admin"

第二種
客戶端連線後，再進行驗證

mongo --port 27017

use admin
db.auth("adminUser", "adminPass")

// 輸出 1 表示驗證成功

2.3 建立普通使用者

過程類似建立管理員賬戶，只是 role 有所不同

use foo

db.createUser(
  {
    user: "simpleUser",
    pwd: "simplePass",
    roles: [ { role: "readWrite", db: "foo" },
             { role: "read", db: "bar" } ]
  }
)

現在我們有了一個普通使用者
使用者名稱：simpleUser
密碼：simplePass
許可權：讀寫資料庫 foo， 只讀資料庫 bar。

注意
NOTE
WARN
use foo表示使用者在 foo 庫中建立，就一定要 foo 庫驗證身份，即使用者的資訊跟隨隨資料庫。比如上述 simpleUser 雖然有 bar 庫的讀取許可權，但是一定要先在 foo 庫進行身份驗證，直接訪問會提示驗證失敗。

use foo
db.auth("simpleUser", "simplePass")

use bar
show collections

還有一點需要注意，如果 admin 庫沒有任何使用者的話，即使在其他資料庫中建立了使用者，啟用身份驗證，預設的連線方式依然會有超級許可權

2.4 內建角色

• Read：允許使用者讀取指定資料庫
• readWrite：允許使用者讀寫指定資料庫
• dbAdmin：允許使用者在指定資料庫中執行管理函式，如索引建立、刪除，檢視統計或訪問system.profile
• userAdmin：允許使用者向system.users集合寫入，可以找指定資料庫裡建立、刪除和管理使用者
• clusterAdmin：只在admin資料庫中可用，賦予使用者所有分片和複製集相關函式的管理許可權。
• readAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的讀許可權
• readWriteAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的讀寫許可權
• userAdminAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的userAdmin許可權
• dbAdminAnyDatabase：只在admin資料庫中可用，賦予使用者所有資料庫的dbAdmin許可權。
• root：只在admin資料庫中可用。超級賬號，超級許可權

2.5 URI 形式的訪問

生產中常用 URI 形式對資料庫進行連線

mongodb://your.db.ip.address:27017/foo

新增使用者名稱密碼驗證

mongodb://simpleUser:[email protected]:27017/foo