摘要：众所周知，等知名的数据库都是有在安全方面作出相当的防护的。就是针对服务端的做白名单控制。我是上海小胖，专注等开源数据库的，拥抱开源，接受收费。上海小胖原创地址联系方式欢迎各位大神前来评论。每周五，敬请期待，上海小胖独更。
前言
好了，看了这个标题，我不知道你有没有一种潜意识，如果有，没错，那就是这个了，MongoDB 终于开放了我觉得对于一个数据库的安全来说，比较重要的一个模块了 --- IP 白名单。
众所周知，MySQL、Oracle、SqlServer等知名的数据库都是有在安全方面作出相当的防护的。
IP白名单
针对库、表的权限区分
针对不同的增删改查、事务、admin等的权限分配
甚至于Oracle还提供了针对于不同权限所组合而成的逻辑角色，MySQL在这方面也做了相应的调整。
但是回过头来看看MongoDB，从最一开始的最最简单的用户名+密码的方式，到了之后引入了Bult-in Role、Custom Role、Privilege等的概念推出，再到即将推出的3.6中，明确了将bind_ip调整成了localhost，这也是受比特币案的影响吧。
这一次，3.6中，新加入了authenticationRestrictions，就是用来解决IP白名单的缺陷。
那么接下来就让我们一起来看一下，这个非常吸引我的特性是如何实现的吧。
讲道理首先还是先来看看MongoDB的官方文档吧。https://docs.mongodb.com/master/reference/method/db.createUser/#authentication-restrictions
| Field Name | Value | Description |
|---|---|---|
| clientSource | Array of IP addresses and/or CIDR ranges | If present, when authenticating a user, the server verifies that the client’s IP address is either in the given list or belongs to a CIDR range in the list. If the client’s IP address is not present, the server does not authenticate the user. |
| serverAddress | Array of IP addresses and/or CIDR ranges | A list of IP addresses or CIDR ranges to which the client can connect. If present, the server will verify that the client’s connection was accepted via an IP address in the given list. If the connection was accepted via an unrecognized IP address, the server does not authenticate the user. |
简单来说，clientSource 就是针对客户端的IP 做白名单控制。serverAddress 就是针对服务端的IP 做白名单控制。
那么这里问题来了，客户端IP 好理解，无非就是哪里连过来的连接么，这和我们理解上的都一致，那么服务端地IP呢？什么意思？这里，服务端的IP 指的是客户端在连接过来的时候指定的host 地址，比如：mongo --host=192.168.56.101，那么serverAddress 就必须包含192.168.56.101，这里的包含是什么意思？和MySQL一样，同样可以指定B、C网段，来达到多个地址地开放，只是写法有些许出入，MySQL中是：192.168.56.*，MongoDB 中是：192.168.56.0/24。那么如果是使用驱动的话，也是一样的，在host参数中指定对应的IP即可。
那么接下来我们就来操作一把。
摆事实1.创建一个应用账号miracle
use admin
db.createUser(
{
user: "root",
pwd: "root",
roles: [{role: "root", db: "admin"} ]
}
)
db.createUser(
{
user: "miracle",
pwd: "young",
roles: [ {role: "readWrite", db: "young"} ],
authenticationRestrictions: [ {
clientSource: ["192.168.31.246"],
serverAddress: ["192.168.31.246"]
} ]
}
)
2.重启数据库，开启权限认证
3.进入miracle 数据库，并验证
4.使用符合要求的格式重新连接数据库
5.第四步中出错的原因是因为默认3.6 开启了bind_ip=localhost，而由于一开始忽略了这个问题，折腾了我好久。重启数据库加上--bind_ip_all
6.重新连接
至此，MongoDB的IP白名单功能验证完毕，希望能够帮助到大家在实际的维护中更安全的控制好开发者的权限。
我是上海小胖[MiracleYoung]，专注MongoDB、MySQL、Redis等开源数据库的 DevOps，拥抱开源，接受收费。
上海小胖[MiracleYoung] 原创地址: https://segmentfault.com/u/shanghaixiaopang/articles
联系方式：miracleyoung0723@gmail.com
欢迎各位大神前来评论。
每周五，敬请期待，上海小胖[MiracleYoung] 独更。
如果夏雨荷还在大明湖畔等着我的话，我就不更了。
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/17660.html
摘要：众所周知，等知名的数据库都是有在安全方面作出相当的防护的。就是针对服务端的做白名单控制。我是上海小胖，专注等开源数据库的，拥抱开源，接受收费。上海小胖原创地址联系方式欢迎各位大神前来评论。每周五，敬请期待，上海小胖独更。 前言 好了，看了这个标题，我不知道你有没有一种潜意识，如果有，没错，那就是这个了，MongoDB 终于开放了我觉得对于一个数据库的安全来说，比较重要的一个模块了 --...
摘要：众所周知，等知名的数据库都是有在安全方面作出相当的防护的。就是针对服务端的做白名单控制。我是上海小胖，专注等开源数据库的，拥抱开源，接受收费。上海小胖原创地址联系方式欢迎各位大神前来评论。每周五，敬请期待，上海小胖独更。 前言 好了，看了这个标题，我不知道你有没有一种潜意识，如果有，没错，那就是这个了，MongoDB 终于开放了我觉得对于一个数据库的安全来说，比较重要的一个模块了 --...
摘要：另外，保证数据库的访问安全非常重要，同时也需要保证数据的安全性，做好必要的数据备份。关于如何保护数据的安全性，可以参考我们的博客是这样备份数据的。 上周写了个简短的新闻《MongoDB裸奔，2亿国人求职简历泄漏！》： 根据安全站点HackenProof的报告，由于MongoDB数据库没有采取任何安全保护措施，导致共计202,730,434份国人求职简历泄漏。 然后很多人评论说Mongo...
摘要：先睹为快振奋人心的时刻终于到来了，在经过一个上市的日子后，终于发布了。实战在线开启认证模式解读我是上海小胖，专注等开源数据库的，拥抱开源，接受收费。上海小胖原创地址欢迎各位大神前来评论。每周五，敬请期待，上海小胖独更。 MongoDB 3.6 先睹为快 Part 1 振奋人心的时刻终于到来了，在经过一个MongoDB 上市的日子后，MongoDB 终于发布了MongoDB 3.6 RC...
摘要：先睹为快振奋人心的时刻终于到来了，在经过一个上市的日子后，终于发布了。实战在线开启认证模式解读我是上海小胖，专注等开源数据库的，拥抱开源，接受收费。上海小胖原创地址欢迎各位大神前来评论。每周五，敬请期待，上海小胖独更。 MongoDB 3.6 先睹为快 Part 1 振奋人心的时刻终于到来了，在经过一个MongoDB 上市的日子后，MongoDB 终于发布了MongoDB 3.6 RC...
阅读 2204·2021-11-22 12:01
阅读 1680·2021-11-12 10:34
阅读 4186·2021-09-22 15:47
阅读 2596·2019-08-30 15:56
阅读 2720·2019-08-30 15:53
阅读 2275·2019-08-30 13:53
阅读 3216·2019-08-29 15:35
阅读 2997·2019-08-29 12:27
