mongodb的认证、授权、审计

 

 1. 认证（Authentication）

MongoDB提供了大量的用户连接到数据的认证机制。选择提供安全和管理最好的平衡的机制。尽管认证是可选的，但推荐的安全实践是所有的生产系统启用认证。

质疑应答认证（Challenge Response Authentication（MongoDB-CR））

这是传统的基于用户名密码的认证。用户可以在一个数据库或整个集群范围创建。如果一个用户只须在特定的数据库访问数据，推荐只在该数据库创建用户。集群级别的访问应该限制给管理员。

X.509证书认证（X.509 certificate Authentication）

用户可以使用X.509证书认证到他们的MongoDB数据库。为了实现它，MongoDB实例需要启用SSL。默认MongoDB社区版没有启用SSL。你需要转向你自己的版本或者注册使用企业版。你可以使用唯一的标题对每个X.509证书在MongoDB创建一个用户。更多操作向导细节参考MongoDB X.509 certificate setup指南。

Kerberos认证（Kerberos Authentication）

MongoDB企业版支持使用Kerberos认证，它是一个客户端/服务器认证的行业标准。例如，如果你是一个安装有活动目录（Active Directory）的企业，可以使用Kerberos认证机制认证用户 – 这避免了管理用户名/密码或者证书的麻烦。点击这里获取集成MongoDB到活动目录的指南。

2. 授权（Authorization）

授权系统决定了用户可以执行什么操作，一旦他们完成授权。MongoDB支持基于角色的访问控制（RBAC）模型。每个用户分配特定的角色，决定了他允许执行什么操作。MongoDB有一批内置角色并且你也可以创建你自己的角色。每个角色分配了一批对资源允许操作的权限。MongoDB在以下范围提供了内置角色：

数据库用户角色（Database user roles） -- read, readWrite
数据库管理员角色（Database administrator roles） -- dbAdmin, dbOwner, userAdmin
集群管理员角色（Cluster administrator roles） -- clusterAdmin, clusterManager, clusterMonitor, hostManager
备份和恢复角色（Backup and restore roles） -- backup, restore
所有数据库角色（All Database roles） -- readAnyDatabase, readWriteAnyDatabase, userAdminAnyDatabase
超级用户角色（Superuser roles） – root

参考内置角色文档，更详细的理解需要分配给用户的角色。

3. 审计（Auditing）

MongoDB 2.6企业版增加了对审计的支持。你可以配置MongoDB实例，对于感兴趣的MongoDB操作，像用户登录、DDL修改、复制集配置修改等，生成审计事件。这能让你使用已经存在企业审计工具来获取和处理需要的事件。更详细的信息参考MongoDB可被审计的事件列表。