MongoDB 보안 기능 이해하기 - MongoDB 올인 10일차

Understanding MongoDB Security Features - All-in Day 10

오류 발생

1. 인증 없이 MongoDB 서버를 시작합니다. (또는 localhost 예외가 활성화된 상태로 접속)
2. admin 데이터베이스에 접속하여 userAdminAnyDatabase 역할을 가진 사용자를 생성합니다.

   // mongosh
   use admin
   db.createUser({
     user: "myAdminUser",
     pwd: passwordPrompt(), // 비밀번호를 안전하게 입력받음
     roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
   })

   이제 myAdminUser 사용자는 다른 사용자들을 관리할 수 있는 강력한 권한을 갖게 됩니다.
   

   어드민 유저 설정

security:
  authorization: enabled

mongod --auth --port 27017 --dbpath /data/db # 기타 필요한 옵션들과 함께

mongosh --port 27017 -u <username> -p <password> --authenticationDatabase admin

use myAppDB // 사용자를 생성할 데이터베이스로 전환
db.createUser({
  user: "appUser",
  pwd: passwordPrompt(),
  roles: [
    { role: "readWrite", db: "myAppDB" }, // myAppDB에 대한 읽기/쓰기 권한
    { role: "read", db: "logsDB" }        // logsDB에 대한 읽기 권한
  ]
})

인증 과정 흐름도

RBAC 개념도

• read: 지정된 데이터베이스의 모든 컬렉션에서 데이터를 읽을 수 있는 권한.
• readWrite: 지정된 데이터베이스의 모든 컬렉션에서 데이터를 읽고 쓸 수 있는 권한.

• dbAdmin: 데이터베이스 관리 작업(인덱스 생성, 컬렉션 관리 등) 수행 권한. (데이터 읽기/쓰기 권한은 포함하지 않음)
• userAdmin: 해당 데이터베이스의 사용자 및 역할 관리 권한.

• clusterAdmin: 복제 세트, 샤딩 등 클러스터 전체 관리 작업 권한.
• userAdminAnyDatabase: 모든 데이터베이스의 사용자 및 역할 관리 권한. (첫 관리자에게 부여했던 역할)
• readAnyDatabase, readWriteAnyDatabase 등.

• backup, restore.

• root (매우 강력한 권한이므로 신중하게 사용해야 합니다).

use myAppDB
db.createRole({
  role: "inventoryManager",
  privileges: [
    { resource: { db: "myAppDB", collection: "products" }, actions: [ "find", "update", "insert" ] },
    { resource: { db: "myAppDB", collection: "orders" }, actions: [ "find" ] }
  ],
  roles: [ // 다른 역할 상속 가능
    // { role: "read", db: "myAppDB" } // 예시: read 역할 상속
  ]
})

• WiredTiger 저장 엔진의 자체 암호화
  MongoDB Enterprise 버전에서는 WiredTiger 저장 엔진이 기본적으로 저장 데이터 암호화 기능을 제공합니다.
  다양한 암호화 키 관리 방식(로컬 키 파일, KMIP 연동 등)을 지원합니다.
• Community Edition 사용자를 위한 대안
  파일 시스템 레벨 암호화
  : 운영체제 수준에서 디스크 전체 또는 특정 파티션을 암호화하는 방법입니다. (예: Linux의 LUKS, macOS의 FileVault, Windows의 BitLocker)
  애플리케이션 레벨 암호화
  : MongoDB에 데이터를 저장하기 전에 애플리케이션 코드에서 직접 중요한 필드를 암호화하는 방식입니다. MongoDB 클라이언트 측 필드 레벨 암호화(Client-Side Field Level Encryption) 기능을 활용할 수도 있습니다.

Encryption at Rest

net:
  port: 27017
  bindIp: 0.0.0.0 # 실제 운영 환경에서는 특정 IP 또는 호스트명 권장
  ssl:
    mode: requireSSL # 또는 preferSSL, allowSSL
    PEMKeyFile: /etc/ssl/mongodb.pem # 서버 인증서와 개인 키가 포함된 파일
    CAFile: /etc/ssl/ca.pem # 신뢰하는 인증 기관(CA)의 인증서 파일 (클라이언트 인증 시 필요)
    # clusterFile, clusterPassword 등의 옵션도 클러스터 내부 통신 암호화 시 사용

• mode: TLS/SSL 사용 정책 (disabled, allowSSL, preferSSL, requireSSL). 운영 환경에서는 requireSSL 사용을 강력히 권장합니다.
• PEMKeyFile: 서버의 공개 인증서와 암호화된 개인 키를 포함하는 PEM 형식 파일 경로입니다.
• CAFile: 클라이언트 인증서의 유효성을 검사할 때 사용할 CA 인증서 파일 경로입니다.

TLS/SSL

• 최소 권한의 원칙(Principle of Least Privilege)
  사용자나 애플리케이션에는 꼭 필요한 최소한의 권한만 부여합니다.
• 정기적인 MongoDB 버전 업데이트
  최신 보안 패치가 적용된 안정적인 버전을 사용합니다.
• 네트워크 보안 강화
  방화벽을 사용하여 허가된 IP에서만 MongoDB 포트(기본 27017)로 접근하도록 제한하고, bindIp 설정을 통해 MongoDB가 특정 네트워크 인터페이스에서만 연결을 수신하도록 합니다.
• 정기적인 보안 감사 및 로그 모니터링
  의심스러운 활동이나 접근 시도를 감지할 수 있도록 로그를 주기적으로 확인합니다. (MongoDB Enterprise는 감사 기능 제공)
• 강력한 비밀번호 사용 및 주기적 변경

다음 시간에는 MongoDB와 함께 사용할 수 있는 유용한

툴 및 유틸리티

에 대해 알아보겠습니다. MongoDB Compass GUI부터 백업/복원 도구까지, 개발과 운영에 도움이 되는 도구들을 살펴보겠습니다.

• MongoDB 보안 전체 문서 (공식 문서): https://www.mongodb.com/docs/manual/security/↗
• 인증 (공식 문서): https://www.mongodb.com/docs/manual/core/authentication/↗
• 역할 기반 접근 제어 (공식 문서): https://www.mongodb.com/docs/manual/core/authorization/↗
• TLS/SSL 설정 (공식 문서): https://www.mongodb.com/docs/manual/tutorial/configure-ssl/↗
• 저장 데이터 암호화 (공식 문서 - Enterprise): https://www.mongodb.com/docs/manual/core/security-encryption-at-rest/↗