启用授权后匿名用户仍可通过mongosh连接MongoDB操作遥测的安全加固咨询

1. 确认并清理匿名用户 #

• 进入Docker容器的MongoDB shell：docker exec -it <容器名/容器ID> mongosh
• 执行db.getUsers()检查是否存在空名称的匿名用户，若存在直接删除：db.dropUser("")
• 查看当前认证机制：db.adminCommand({getParameter:1, authenticationMechanisms:1})，确保启用SCRAM-SHA-256这类强认证方式，而非弱机制或未正确开启认证。

2. 强制开启授权验证 #

Docker启动MongoDB时必须添加--auth参数，确保未授权用户无法连接：

• 单容器启动命令示例：

  docker run -d --name mongodb -p 27017:27017 mongo:latest --auth
  

• Docker Compose配置示例：

  services:
    mongodb:
      image: mongo:latest
      command: --auth
      ports:
        - "27017:27017"
      volumes:
        - ./mongo-data:/data/db
  

• 已运行容器需重启生效：docker restart <容器名/容器ID>

3. 彻底禁用遥测功能 #

直接通过启动参数关闭遥测，避免匿名用户修改：

• 启动命令添加--telemetryDisabled：

  docker run -d --name mongodb -p 27017:27017 mongo:latest --auth --telemetryDisabled
  

• 若使用自定义配置文件挂载到容器，添加以下配置：

  telemetry:
    disabled: true
  

4. 限制容器网络暴露 #

• 避免将27017端口映射到公网IP，仅允许本地访问：

  docker run -d --name mongodb -p 127.0.0.1:27017:27017 mongo:latest --auth
  

• 多容器环境使用Docker内部网络，禁止端口对外暴露：

  services:
    mongodb:
      image: mongo:latest
      command: --auth
      networks:
        - internal-net
      volumes:
        - ./mongo-data:/data/db
  networks:
    internal-net:
      internal: true
  

5. 配置最小权限用户 #

• 创建超级管理员（需在开启--auth前或首次未授权连接时操作）：

  use admin
  db.createUser({
    user: "admin",
    pwd: "包含大小写、数字、特殊字符的强密码",
    roles: [{ role: "root", db: "admin" }]
  })
  

• 为业务数据库创建专用用户，仅分配必要权限：

  use my_biz_db
  db.createUser({
    user: "biz_user",
    pwd: "业务用户密码",
    roles: [{ role: "readWrite", db: "my_biz_db" }]
  })
  

6. 升级MongoDB镜像版本 #

• 拉取最新稳定版镜像：docker pull mongo:latest
• 查看当前版本：docker exec <容器名/容器ID> mongosh --eval "db.version()"，避免旧版本存在授权绕过漏洞

内容的提问来源于stack exchange，提问作者samawaat