MongoDB 分账号限制数据访问

MongoDB 分账号限制数据访问

在 MongoDB 中，可以通过几种方式实现不同账号只能访问特定数据的需求，类似于你在 PostgreSQL 中实现的功能。

1. 基于角色的访问控制 (RBAC)

创建用户并分配角色

// 创建只能读取特定数据库的用户
use admin
db.createUser({
  user: "restricted_user",
  pwd: "secure_password",
  roles: [
    { role: "read", db: "your_database" }
  ]
})

创建自定义角色限制集合访问

use admin
db.createRole({
  role: "org_123_restricted_role",
  privileges: [
    {
      resource: { db: "your_database", collection: "hs_report_task" },
      actions: ["find"]
    },
    {
      resource: { db: "your_database", collection: "hs_recipel" },
      actions: ["find"]
    },
    {
      resource: { db: "your_database", collection: "hs_recipel_item" },
      actions: ["find"]
    }
  ],
  roles: []
})

// 将角色分配给用户
db.grantRolesToUser("restricted_user", ["org_123_restricted_role"])

2. 使用视图限制数据访问 (MongoDB 3.4+)

// 创建仅包含org_id=123数据的视图
use your_database
db.createView("restricted_hs_report_task", "hs_report_task", [
  { $match: { org_id: 123 } }
])

// 为用户授予视图访问权限
use admin
db.runCommand({
  grantRolesToUser: "restricted_user",
  roles: [
    { role: "read", db: "your_database", collection: "restricted_hs_report_task" }
  ]
})

3. 字段级加密 (MongoDB 4.2+ 企业版)

如果需要更高级的安全控制，可以使用客户端字段级加密：

// 创建加密模式
const schema = {
  "your_database.hs_report_task": {
    bsonType: "object",
    encryptMetadata: {
      keyId: [UUID("...")],
      algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
    },
    properties: {
      org_id: {
        encrypt: {
          bsonType: "int",
          algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
        }
      }
    }
  }
};

// 创建具有特定访问权限的用户
db.createUser({
  user: "encrypted_user",
  pwd: "secure_password",
  roles: [
    { role: "read", db: "your_database" }
  ],
  authenticationRestrictions: [
    {
      clientSource: ["192.168.1.0/24"],
      serverAddress: ["mongodb1.example.com"]
    }
  ]
})

4. 完全禁止访问特定集合

use admin
db.revokeRolesFromUser("restricted_user", [
  { role: "read", db: "your_database", collection: "hs_disce" }
])

最佳实践

1. 最小权限原则：只授予必要权限
2. 使用自定义角色：而非直接分配内置角色
3. 定期审计：检查用户权限
4. 结合网络限制：使用authenticationRestrictions限制访问IP
5. 启用认证：确保mongod启动时开启了认证(--auth参数)

验证设置

// 使用受限用户登录
mongo -u restricted_user -p secure_password --authenticationDatabase your_database

// 在Mongo shell中测试
use your_database
db.hs_report_task.find()  // 应该能看到数据
db.hs_disce.find()       // 应该被拒绝

这样设置后，restricted_user用户将只能访问指定的三个集合，并且可以通过视图或查询修饰符进一步限制只能看到org_id=123的数据。