匿名用户可以通过启用security.authorization连接到MongoDB

Question

我在security.authorization

中启用了/etc/mongod.conf设置

security:
  authorization: enabled

但我仍然可以在不提供凭据的情况下连接到mongo shell。

mongo

启用security.authorization似乎强制对数据库进行访问控制，而匿名用户似乎无法执行任何操作，例如列出数据库和/或集合。

我试图在/etc/mongodb.conf文件中启用身份验证，但这似乎没有任何效果，我仍然可以匿名连接。

auth = true

如何将mongo shell设置为要求身份验证，以便阻止匿名连接。

Answer 1

mongodb中的授权模式不像mysql那样工作。 它将阻止非授权或匿名用户读取或写入数据库，但它不会禁止人们连接到您的数据库。

匿名用户将始终能够自行连接，但无法做任何事情。

如果要阻止来自未知用户或服务器的连接，可以启用net.bindIp parameter以仅允许所选IP连接到您的数据库。