MongoDB更新副本集设置为密钥文件身份验证

淩亂°似流年 2023-02-12 14:22 8阅读 0赞

# 概述 #

对副本集实施访问控制需要配置：

*  使用内部身份验证的副本集成员之间的安全性。  
    您可以要求副本集和分片群集的成员彼此进行身份验证。对于成员的内部身份验证，副本集的每个成员都使用相同的内部身份验证机制和设置，MongoDB可以使用**密钥文件**或\*\*x.509证书。\*\*所选方法用于所有内部通讯。
 *  使用基于角色的访问控制在连接客户端和副本集之间的安全性 。
 *  强制执行内部身份验证也会强制执行用户访问控制。要连接到副本集，mongo shell 程序之类的客户端需要使用用户帐户。

<table> 
 <thead> 
  <tr> 
   <th align="left">主机名</th> 
   <th align="left">IP地址</th> 
   <th align="left">系统</th> 
   <th align="left">角色</th> 
   <th align="left">数据库版本</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">mongodb-DB01</td> 
   <td align="left">192.168.0.1</td> 
   <td align="left">Ubuntu 16.04.3 LTS</td> 
   <td align="left">Primary</td> 
   <td align="left">MongoDB server version: 4.2.2</td> 
  </tr> 
  <tr> 
   <td align="left">mongodb-DB02</td> 
   <td align="left">192.168.0.2</td> 
   <td align="left">Ubuntu 16.04.3 LTS</td> 
   <td align="left">Secondary</td> 
   <td align="left">MongoDB server version: 4.2.2</td> 
  </tr> 
  <tr> 
   <td align="left">mongodb-DB03</td> 
   <td align="left">192.168.0.3</td> 
   <td align="left">Ubuntu 16.04.3 LTS</td> 
   <td align="left">Arbiter</td> 
   <td align="left">MongoDB server version: 4.2.2</td> 
  </tr> 
 </tbody> 
</table>

# 密钥文件要求 #

密钥文件使用SCRAM质询和响应身份验证机制，其中密钥文件包含成员的共享密码。

**关键要求**  
密钥的长度必须在6到1024个字符之间，并且只能包含base64集中的字符。MongoDB去除空格字符（例如x0d，x09和x20），以方便跨平台使用。以下操作产生相同的密钥：

echo -e "mysecretkey" > key1
    echo -e "my secret key" > key1
    echo -e "my secret key\n" > key2
    echo -e "my secret key" > key3
    echo -e "my\r\nsecret\r\nkey\r\n" > key4

# 密钥文件格式 #

从MongoDB 4.2开始，用于内部成员身份验证的密钥文件使用YAML格式，以允许密钥文件中包含多个密钥。  
YAML格式接受以下内容，YAML格式与使用文本文件格式的现有单键密钥文件兼容。

*  单个键字符串（与早期版本相同）

# 如果密钥文件包含单个密钥，则可以指定带或不带引号的密钥字符串
    root@mongodb-DB01:~# cat secret.txt
    hello old secret key1

*  多个键字符串（每个字符串必须用引号引起来）

# 您可以指定多个关键字字符串，其中每个关键字字符串都用引号引起来
    root@mongodb-DB01:~# cat secret.txt
    'hello old secret key1'
    'hello new secret key2'

*  键串的顺序

# 您可以将多个键字符串指定为键字符串序列（可选地用引号引起来）
    root@mongodb-DB01:~# cat secret.txt
    - hello old secret key1
    - hello new secret key2

# 密钥文件配置 #

要指定密钥文件，请使用security.keyFile设置或 --keyFile命令行选项。

密钥文件安全性  
密钥文件是最低限度的安全性形式，最适合于测试或开发环境。对于生产环境，建议使用 x.509证书。

# 创建密钥文件 #

通过密钥文件认证，mongod副本集中的每个 实例都将密钥文件的内容用作共享密码，以认证部署中的其他成员。只有 mongod具有正确密钥文件的实例才能加入副本集。

密钥的长度必须在6到1024个字符之间，并且只能包含base64集中的字符。副本集的所有成员必须共享至少一个公共密钥。

**注意**  
在UNIX系统上，密钥文件不得具有组或所有权限。在Windows系统上，不检查密钥文件权限

您可以使用任何选择的方法来生成密钥文件。例如，以下操作用于openssl生成复杂的伪随机1024字符串，用作共享密码。然后，它chmod用于更改文件许可权，以仅为文件所有者提供读取许可权：

root@mongodb-DB01:~# openssl rand -base64 756 > /data/secret.txt
    root@mongodb-DB01:~# chown mongodb:mongodb /data/secret.txt
    root@mongodb-DB01:~# chmod 400 /data/secret.txt
    
    # 配置文件需要同时追加密钥路径
    root@mongodb-DB01:~# cat /etc/mongod.conf 
    ......
    security:
       keyFile: "/data/secret.txt"
       clusterAuthMode: "keyFile"
    ......

# 复制密码文件 #

将密钥文件复制到副本集所有成员的每个服务器上。确保运行mongod实例的用户是文件的所有者，并且可以访问密钥文件。

避免将密钥文件存储在可轻松与mongod实例的硬件断开连接的存储介质上，例如USB驱动器或网络连接的存储设备。

# 把密钥复制到其它副本集成员的相同位置
    root@mongodb-DB01:~# scp /data/secret.txt xxx@192.168.0.2:/data/secret.txt
    root@mongodb-DB01:~# scp /data/secret.txt xxx@192.168.0.3:/data/secret.txt
    
    # 辅助节点
    root@mongodb-DB02:~# cat /etc/mongod.conf 
    ......
    security:
       keyFile: "/data/secret.txt"
       clusterAuthMode: "keyFile"
    ......
    root@mongodb-DB02:~# chown mongodb:mongodb /data/secret.txt
    root@mongodb-DB02:~# chmod 400 /data/secret.txt
    
    # 仲裁节点
    root@mongodb-DB03:~# cat /etc/mongod.conf 
    ......
    security:
       keyFile: "/data/secret.txt"
       clusterAuthMode: "keyFile"
    ......
    root@mongodb-DB03:~# chown mongodb:mongodb /data/secret.txt
    root@mongodb-DB03:~# chmod 400 /data/secret.txt

# 关闭副本集 #

mongod从辅助节点开始，关闭副本集中的每个副本 。继续直到副本集的所有成员都脱机，包括所有仲裁节点。

该主节点必须是最后一个成员关闭，以避免潜在的回滚。

要关闭mongod，请使用 mongo shell 连接每个服务器，db.shutdownServer() 然后在admin数据库上 发出：

> use admin
    > db.shutdownServer()

在此步骤结束时，副本集的所有成员都应处于脱机状态。

# 重启副本集 #

重新启动副本集的每个成员，并强制执行访问控制。

使用配置文件设置或命令行选项重新启动副本集中的每个 mongod副本 。  
运行与所述命令行选项或配置文件设置强制使用**内部成员身份验证** 和 **基于角色的访问控制**。

配置文件  
如果使用配置文件，请设置

*  security.keyFile 到密钥文件的路径
 *  replication.replSetName 副本集名称。  
    包括配置所需的其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员在不同的主机上运行，请指定net.bindIp设置。·

security:
      keyFile: <path-to-keyfile>
    replication:
      replSetName: <replicaSetName>
    net:
       bindIp: localhost,<hostname(s)|ip address(es)>

命令行  
如果使用命令行选项，请从mongod以下选项开始：

–keyFile 设置为密钥文件的路径  
–replSet 设置为副本集名称。  
包括配置所需的其他选项。例如，如果您希望远程客户端连接到您的部署，或者您的部署成员在不同的主机上运行，请指定 --bind\_ip。

mongod --keyFile <path-to-keyfile> --replSet <replicaSetName> --bind_ip localhost,<hostname(s)|ip address(es)>

副本集重启之后， 查看副本集状态 , 使用localhost接口连接到主数据库。

通过localhost接口将mongo Shell 连接到mongod实例之一 。您必须在与实例相同的物理计算机上运行shell程序。

使用rs.status()来查看副本集成员。如果您连接到主服务器，请继续执行下一步。  
如果不是，请使用mongo通过localhost接口将shell 连接到主服务器。

重要 您必须先连接到主服务器，然后再继续。

root@mongodb-DB01:~# /usr/local/mongodb/bin/mongo --port 27017 --host localhost
    > use admin

# 创建用户管理员 #

创建第一个用户后，localhost异常不再可用。

第一个用户必须具有创建其他用户（例如具有的用户）的特权userAdminAnyDatabase。这样可以确保您可以在Localhost Exception 关闭后创建其他用户。

如果至少一个用户就不能有权限创建用户，一旦本地主机异常关闭您可能无法创建或修改用户权限的新，因此无法获得必要的操作。

使用db.createUser()方法添加用户。用户应至少具有数据库userAdminAnyDatabase角色 admin。您必须连接到主数据库才能创建用户。以下示例在数据库中创建 dbadmin 具有 userAdminAnyDatabase角色的用户admin。

admin = db.getSiblingDB("admin")
    admin.createUser(
      { 
        user: "dbadmin",
        pwd: passwordPrompt(), // or cleartext password
        roles: [ {  role: "userAdminAnyDatabase", db: "admin" } ]
      }
    )
    # 或者创建超级管理员
    admin.createUser(
      { 
        user: "dbadmin",
        pwd: passwordPrompt(), // or cleartext password
        roles: [ {  role: "root", db: "admin" } ]
      }
    )

备注：  
从mongoShell的4.2版本开始，您可以将该passwordPrompt()方法与各种用户身份验证/管理方法/命令结合使用，以提示输入密码，而不是直接在方法/命令调用中指定密码。但是，您仍然可以像在早期版本的mongoShell中一样直接指定密码 。例如

root@mongodb-DB01:~# /usr/local/mongodb/bin/mongo --port 27017 --host localhost
    > use admin 
    > db.auth("admin", passwordPrompt())   # 提示输入密码