安全清单

启用访问控制并指定身份验证机制。您可以使用MongoDB的SCRAM或x.509身份验证机制，也可以与现有的Kerberos / LDAP基础结构集成。身份验证要求所有客户端和服务器在连接到系统之前都必须提供有效的凭据。

请参阅身份验证和 启用访问控制。

创建一个用户管理员第一，然后创建更多的用户。为访问系统的每个人/应用程序创建一个唯一的MongoDB用户。

遵循最小特权原则。创建角色，以定义一组用户所需的确切访问权限。然后创建用户，并仅为其分配执行操作所需的角色。用户可以是个人或客户端应用程序。

请参阅基于角色的访问控制和 管理用户和角色。

配置MongoDB以对所有传入和传出连接使用TLS / SSL。使用TLS / SSL加密MongoDB部署之间mongod，mongos组件之间以及所有应用程序和MongoDB之间的通信 。

从版本4.0开始，MongoDB使用本机TLS / SSL OS库：

请参阅为TLS / SSL配置mongod和mongos。

确保MongoDB在受信任的网络环境中运行，并配置防火墙或安全组以控制MongoDB实例的入站和出站流量。

仅允许受信任的客户端访问可使用MongoDB实例的网络接口和端口。例如，使用IP白名单以允许从受信任的IP地址进行访问（请参阅参考资料）

看到：

• 网络和配置强化
• net.bindIp 配置设定
• security.clusterIpSourceWhitelist 配置设定
• authentication限制，用于指定每个用户的IP白名单。

跟踪对数据库配置和数据的访问和更改。 MongoDB Enterprise 包含一个系统审核工具，可以记录MongoDB实例上的系统事件（例如，用户操作，连接事件）。这些审核记录可以进行法医分析，并允许管理员验证适当的控制措施。您可以设置过滤器以记录特定事件，例如身份验证事件。

请参阅审核和 配置审核。

使用专用的操作系统用户帐户运行MongoDB进程。确保该帐户具有访问数据的权限，但没有不必要的权限。

有关运行MongoDB的更多信息，请参阅安装 MongoDB。