Mecanismos de autenticação: SCRAM e x.509

Por padrão, uma instância do MongoDB recém-instalada escuta em 0.0.0.0:27017 sem exigir autenticação. Inúmeras violações de segurança no mundo real ocorreram porque desenvolvedores deixaram o MongoDB exposto à internet sem ativar a autenticação. As implantações de produção devem sempre habilitar a autenticação, para que somente usuários e serviços com credenciais possam se conectar. O MongoDB oferece vários mecanismos de autenticação — os dois mais importantes são SCRAM e certificados x.509.

A autenticação é ativada adicionando security.authorization: enabled ao arquivo de configuração mongod.conf (ou passando --auth na linha de comando). Depois de ativada, toda tentativa de conexão deve fornecer credenciais válidas. Antes de ativar a autenticação em uma implantação existente, crie sempre um usuário administrador primeiro — caso contrário, você ficará sem acesso.

Conecte-se ao MongoDB sem autenticação enquanto ele ainda estiver no modo não autenticado (ou no modo de exceção do localhost) para criar o primeiro usuário. Conceda a ele a função userAdminAnyDatabase para que possa criar usuários adicionais. Em seguida, ative --auth e reconecte-se usando credenciais. A exceção do localhost permite uma conexão não autenticada pelo localhost somente até que o primeiro usuário seja criado.

SCRAM (Salted Challenge Response Authentication Mechanism) é o protocolo de autenticação padrão do MongoDB baseado em senha. Por padrão, o MongoDB usa SCRAM-SHA-256 (a variante mais recente e mais robusta). O SCRAM evita enviar a senha real pela rede — o cliente e o servidor realizam uma negociação criptográfica usando hashes com salt. Os clientes negociam automaticamente a variante SCRAM mais robusta compatível com o servidor.

Cada serviço de aplicação deve ter seu próprio usuário do MongoDB, com apenas as permissões necessárias. Um serviço de relatórios somente leitura deve ter apenas a função read no banco de dados específico. Uma API com muitas operações de escrita deve ter apenas readWrite. Conceder root ou dbOwner a contas de aplicação viola o princípio do privilégio mínimo e amplia o impacto de uma invasão.

Certificados x.509 fornecem uma autenticação mais robusta que as senhas ao usar pares de chaves criptográficas. O cliente apresenta um certificado assinado por uma Autoridade Certificadora confiável (CA), em vez de um nome de usuário e uma senha. O MongoDB associa o Nome Distinto do Subject (DN) do certificado a um usuário do MongoDB. Esse é o mecanismo preferencial para a autenticação interna de membros do cluster (nós do conjunto de réplicas que se autenticam entre si).

Para ativar x.509, você deve configurar o TLS (o transporte subjacente) e definir security.clusterAuthMode: x509 para a autenticação entre os membros do cluster. Para a autenticação de clientes, defina net.tls.CAFile como o certificado da sua CA para que o MongoDB possa verificar os certificados dos clientes. Isso exige gerar uma CA, assinar certificados para cada membro e cliente e distribuí-los com segurança.

Ao usar a autenticação de clientes x.509, o nome de usuário do MongoDB deve corresponder exatamente ao DN do Subject do certificado do cliente. Crie o usuário no banco de dados $external (não no banco de dados regular admin ou no banco da aplicação), pois as credenciais são validadas externamente pelo certificado, e não pelo repositório interno de credenciais do MongoDB.

O SCRAM é mais simples de configurar — crie um usuário com nome de usuário e senha e conecte-se. Ele é adequado para a maioria dos serviços de aplicação e para o acesso de desenvolvedores. O x.509 é mais complexo (exige uma infraestrutura de PKI), mas oferece garantias mais robustas: não há senhas para alterar ou vazar, há listas de revogação de certificados (CRLs) para revogar imediatamente o acesso, e seu uso é obrigatório para a autenticação de membros de conjuntos de réplicas em ambientes de alta segurança.

O MongoDB fornece db.updateUser() para alterar a senha de um usuário existente sem excluir e recriar a conta. No Atlas, alterne as credenciais pela interface ou pela API do Atlas. Ao alternar uma senha, atualize a cadeia de conexão da aplicação antes de alterar a senha para evitar um período de interrupção da conectividade. Use variáveis de ambiente de URI da cadeia de conexão para que a alternância da senha exija apenas a atualização de uma variável de ambiente e a reinicialização da aplicação.

Audite regularmente seus usuários do MongoDB. Use db.getUsers() para listar todos os usuários de um banco de dados e db.getUser('name') para obter detalhes de uma conta específica, incluindo as funções atribuídas a ela. Remova imediatamente contas obsoletas ou comprometidas com db.dropUser(). No Atlas, a seção Users do painel Database Access fornece um inventário centralizado de todos os usuários em todos os clusters.

Nesta lição, você aprendeu que SCRAM-SHA-256 é o mecanismo de autenticação padrão do MongoDB baseado em senha e é adequado para a maioria dos casos de uso de aplicações; certificados x.509 fornecem uma autenticação criptográfica mais robusta e são preferidos para a autenticação interna de membros do cluster; e você deve sempre criar usuários com funções de privilégio mínimo — contas de aplicação nunca devem ter permissões em nível administrativo. A seguir, veremos o controle de acesso baseado em funções.