当前位置：首页>Linux>从零开始:在Linux上部署并加固MongoDB

从零开始:在Linux上部署并加固MongoDB

2026-03-27 12:23:27

前言

MongoDB作为最受欢迎的数据库之一，凭借其灵活的文档模型、高性能读写能力以及良好的横向扩展性，被广泛应用于日志系统、实时分析、内容管理等场景。然而，“开箱即用”的便利背后，往往隐藏着巨大的安全风险。

多年来，因MongoDB默认配置过于宽松——尤其是27017端口对外开放、无身份认证、未绑定本地地址——导致全球数以万计的数据库被黑客扫描、清空甚至勒索。这些本可避免的事故，一次次警示我们：部署只是第一步，加固才是运维的核心责任。

本文将带你从零开始，在主流Linux发行版（如CentOS、Ubuntu）上完成MongoDB的安装、基础配置，并重点聚焦生产环境下的安全加固实践：包括网络绑定、用户权限控制、防火墙策略、日志审计等关键环节。无论你是开发人员临时搭建测试环境，还是运维工程师负责线上服务，都能从中获得可落地的安全配置方案。

安全不是功能，而是底线。让我们从关闭一个危险端口开始，为你的数据穿上铠甲。

1.什么是MongoDB？

MongoDB是一个开源、高性能、面向文档的NoSQL数据库。

面向文档（Document-Oriented）

数据以BSON（Binary JSON）格式存储，类似JSON对象。
灵活的模式（Schema-less）
同一集合（Collection）中的文档可以有不同的字段，无需预先定义表结构。

高性能 & 可扩展

支持索引、聚合、内存映射等优化。
原生支持水平扩展：通过分片（Sharding）分布数据到多个服务器。

高可用

通过副本集（Replica Set）实现自动故障转移和数据冗余。

丰富的查询语言

支持复杂查询、正则匹配、地理空间查询、聚合管道（Aggregation Pipeline）等。

与传统关系型数据库（如MySQL）对比：

特性	MongoDB	MySQL
数据模型	文档 (JSON-like)	表 (行/列)
模式	动态 (灵活)	静态 (需预定义)
扩展方式	水平扩展（分片）	垂直扩展为主
事务	支持 (4.0+ 多文档事务)	强支持 (ACID)
适用场景	快速迭代、半结构化数据、高写入负载	强一致性、复杂关联查询

典型应用场景：

内容管理系统（CMS）
实时分析 / 日志存储
物联网（IoT）设备数据
移动 App 后端
用户配置/画像存储

MongoDB适合需要灵活性、高吞吐、快速开发的场景，尤其在处理非结构化或半结构化数据时优势明显。但它不擅长复杂多表关联查询，这类需求仍推荐使用关系型数据库。

2.MongoDB安装与启动

2.1 环境准备

操作系统：Linux CentOS 7
安装包：mongodb-linux-x86_64-rhel70-4.0.27.tgz

2.2 安装包下载

官网下载地址：https://www.mongodb.com/try/download/community

也可以直接复制下载地址，然后直接在Linux服务器上使用wget下载。

wget https://fastdl.mongodb.org/linux/mongodb-linux-x86_64-rhel70-4.4.30.tgz

windows也可以一键下载：

下载后直接到本地，部署就可以！

2.3 MongoDB安装

将下载好的安装包上传到Linux服务器/app目录下：

并使用以下命令解压压缩包：

tar -zxvf mongodb-linux-x86_64-rhel70-4.4.30.tgz

将解压后的目录移动到 /usr/local 目录下，并改名为 mongodb 。

mv mongodb-linux-x86_64-rhel70-4.4.30 /usr/local/mongodb

进入mongodb目录，并创建文件夹data，在data文件夹下再创建db文件夹（用于存放数据库数据）和log文件夹（存放mongo日志）。然后为其设置可读写权限。

# 进入目录
cd /usr/local/mongodb/
# 创建三个文件夹
mkdir data data/db data/log
# 设置可读写权限
sudochmod666 data/db data/log/

在mongodb目录下新建配置文件mongodb.conf，打开文件输入以下内容。

# 数据库数据存放目录
dbpath=/usr/local/mongodb/data/db
# 日志文件存放目录
logpath=/usr/local/mongodb/data/log/mongodb.log
# 日志追加方式
logappend=true
# 端口
port=27017
# 是否认证
auth=true
# 以守护进程方式在后台运行
fork=true
# 远程连接要指定ip，否则无法连接；0.0.0.0代表不限制ip访问
bind_ip=0.0.0.0

配置环境变量，使用 sudo vi /etc/profile 命令打开系统文件，并在末尾加入以下内容后保存，最后使用 source /etc/profile 命令重启系统配置。

exportMONGODB_HOME=/usr/local/mongodb
exportPATH=$PATH:$MONGODB_HOME/bin

2.4 MongoDB启动

完成以上步骤即可启动Mongo服务。

mongod -f /usr/local/mongodb/mongodb.conf

使用安装目录下bin目录的mongo客户端命令连接和访问MongoDB，默认会链接到test数据库。

3.基础配置MongoDB

3.1 配置MongoDB服务

配置mangodb开机自启动：

vi /lib/systemd/system/mongodb.service

[Unit]
Description=mongodb
After=network.target remote-fs.target nss-lookup.target
[Service]
Type=forking
ExecStart=/usr/local/mongodb/bin/mongod -f /usr/local/mongodb/mongodb.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/usr/local/mongodb/bin/mongod -f /usr/local/mongodb/mongodb.conf --shutdown
PrivateTmp=true
[Install]
WantedBy=multi-user.target

使服务生效：

systemctl start mongodb.service
systemctl status mongodb.service
systemctl enable mongodb.service
systemctl daemon-reload

3.2 创建管理员账号

内置角色：

数据库用户角色：read、readWrite
数据库管理角色：dbAdmin、dbOwner、userAdmin
集群管理角色：clusterAdmin、clusterManager、clusterMonitor、hostManager
备份恢复角色：backup、restore
所有数据库角色：readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
超级用户角色：root
内部角色：__system

切换到admin数据库，使用以下命令创建管理账号，拥有操作所有数据库权限：

use admin
db.createUser({user:"admin",pwd:"123456",roles:[{role:"userAdminAnyDatabase",db:"admin"}]})

验证:

use admin
db.auth("admin","123456")
show tables

3.3 创建用户和密码

use admin
db.auth("admin","123456")
# 新用户的认证库
use nobody
# 创建chenpi用户，密码123465，对nobody数据库有读写权限
db.createUser({user:'ceshi',pwd:'123456',roles:[{role:'readWrite',db:'nobody'}]})