在当今数据驱动的时代，数据库安全已成为企业IT架构的核心议题。作为一款高性能的NoSQL数据库，MongoDB在CentOS环境下的安全配置尤为重要。许多用户往往在安装后忽略关键防护步骤，导致数据泄露风险激增。手把手带您完成从基础加固到高级防护的全流程，涵盖认证加密、防火墙规则、权限控制等实战要点，确保您的MongoDB服务在CentOS系统上既保持高性能又具备企业级安全性。
一、环境准备与基础安装
通过SSH登录CentOS服务器，建议使用7.x或8.x稳定版本。使用官方仓库安装版MongoDB：
sudo tee /etc/yum.repos.d/mongodb-org-6.0.repo <<EOF
[mongodb-org-6.0]
name=MongoDB Repository
baseurl=https://repo.mongodb.org/yum/redhat/\$releasever/mongodb-org/6.0/x86_64/
gpgcheck=1
enabled=1
gpgkey=https://www.mongodb.org/static/pgp/server-6.0.asc
EOF
sudo yum install -y mongodb-org
二、强制启用认证机制
修改/etc/mongod.conf配置文件，在security部分添加：
security:
authorization: enabled
keyFile: /var/lib/mongodb/keyfile
使用openssl生成3006权限的keyfile：
sudo openssl rand -base64 756 > /var/lib/mongodb/keyfile
sudo chmod 400 /var/lib/mongodb/keyfile
sudo chown mongod:mongod /var/lib/mongodb/keyfile
三、防火墙精细化配置
通过firewalld限制访问来源：
sudo firewall-cmd --permanent --zone=public --add-rich-rule='
rule family="ipv4"
source address="192.168.1.0/24"
port protocol="tcp" port="27017" accept'
sudo firewall-cmd --reload
建议额外配置VPN专用通道，避免直接暴露27017端口到公网。
四、创建最小权限账户
连接mongo shell后，按业务需求创建专属角色：
use admin
db.createRole({
role: "appReadWrite",
privileges: [{
resource: { db: "appdb", collection: "" },
actions: ["find","insert","update","remove"]
}],
roles: []
})
db.createUser({
user: "appuser",
pwd: passwordPrompt(), // 交互式输入密码
roles: ["appReadWrite"]
})
五、日志审计与监控
启用详细日志记录并配置logrotate：
systemLog:
destination: file
path: /var/log/mongodb/mongod.log
logAppend: true
logRotate: reopen
建议配合OSSEC等HIDS工具实现实时入侵检测，关键指标包括：
- 异常认证尝试
- 敏感集合查询
- 大规模数据导出操作
六、定期维护与更新策略
设置每月安全更新检查：
sudo crontab -e
# 添加以下内容
0 3 1 * * /usr/bin/yum update mongodb-org -y && systemctl restart mongod
同时推荐启用MongoDB Atlas的免费监控服务，获取漏洞预警通知。
通过以上六个维度的安全加固，您的MongoDB实例将有效防御99%的自动化攻击。记得每次修改配置后执行systemctl restart mongod，并通过mongod --auth --config /etc/mongod.conf测试配置有效性。实际生产环境中还应考虑结合SSL加密传输和物理隔离方案，构建纵深防御体系。
(牛站网络)
