ApsaraDB for MongoDB：ApsaraDB for MongoDB資料安全最佳實務

同城容災

為進一步滿足業務情境中高可靠性和資料安全需求，ApsaraDB for MongoDB提供了同城容災解決方案。該方案將複本集中的節點或分區叢集執行個體中的組件分別部署在同一地區下三個不同的可用性區域，當三個可用性區域中的任一可用性區域因電源、網路等不可抗因素失去通訊時，高可用系統將自動觸發切換操作，確保整個執行個體的持續可用和資料安全。

許可權控制

• 授權RAM使用者管理MongoDB執行個體

  使用存取控制RAM（Resource Access Management），您可以建立、管理子帳號，控制子帳號對您名下資源的操作許可權。當您的企業存在多使用者協同操作資源時，使用RAM可以按需為使用者指派最小許可權，避免與其他使用者共用雲帳號密鑰，降低企業的資訊安全風險。

  具體操作方法請參見ApsaraDB for MongoDB如何為RAM使用者（子帳號）授權。

• 建立資料庫使用者並授權

  請勿在生產環境中直接使用root使用者串連資料庫，您可以根據業務需求，建立資料庫使用者並分配許可權。

  具體操作方法請參見MongoDB資料庫帳號許可權管理。

網路隔離

• 使用專用網路

  ApsaraDB for MongoDB支援多種網路類型，推薦使用專用網路。

  專用網路是一種隔離的網路環境，安全性和效能均高於傳統的傳統網路。專用網路需要事先建立，詳情請參見建立專用網路。

  當MongoDB執行個體為傳統網路時，您可以將執行個體的網路類型切換至專用網路，詳情請參見傳統網路切換為專用網路。如果您的MongoDB執行個體已經是專用網路，則無需配置。

  說明 ApsaraDB for MongoDB支援在專用網路環境下開啟免密訪問，在保障高安全性的前提下提供更便捷的資料庫連接方式，詳情請參見關閉私網免密訪問。
• 合理設定白名單

  MongoDB執行個體建立完畢後，預設情況下執行個體的白名單中IP地址為127.0.0.1，您必須手動設定白名單地址後才可以串連MongoDB資料庫。

  具體操作方法請參見修改白名單。

  說明

  • 請勿將白名單地址配置為0.0.0.0/0，允許所有IP地址訪問。
  • 建議按需設定並定期維護白名單，及時刪除不再需要的IP地址。

日誌審計

ApsaraDB for MongoDB審計日誌記錄了您對資料庫執行的所有操作。通過審計日誌，您可以對資料庫進行故障分析、行為分析、安全審計等操作，有效協助您擷取資料的執行情況。

具體操作方法請參見查詢審計日誌。

資料加密

• SSL鏈路加密

  通過公網串連資料庫時，您可以啟用SSL（Secure Sockets Layer）加密功能提高資料鏈路的安全性。通過SSL加密功能可以在傳輸層對網路連接進行加密，在提升通訊資料安全性的同時，保障資料的完整性，詳情請參見使用Mongo Shell通過SSL加密串連資料庫。

• 透明資料加密TDE

  透明資料加密TDE（Transparent Data Encryption）可對資料檔案執行即時I/O加密和解密，資料在寫入磁碟之前進行加密，從磁碟讀入記憶體時進行解密。TDE不會增加資料檔案的大小，您無需更改任何應用程式，即可使用TDE功能，詳情請參見設定透明資料加密TDE。

  說明 透明資料加密TDE僅支援集合粒度的加密，如需欄位粒度的加密請參見手動欄位級加密（僅支援MongoDB 4.2版本本地碟執行個體）。