配置片段
配置片段
# mongod.conf 关键项
security:
authorization: enabled
net:
bindIp: 127.0.0.1,10.0.0.12
tls:
mode: requireTLS
# Elasticsearch：启用安全模块（8.x 默认开启，输出初始密码）
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
# Redis ACL：为报表应用创建只读账号
ACL SETUSER report on >StrongPass ~report:* +get +mget
ACL LIST| 网络 | 绑定内网地址，防火墙只放行应用网段；禁止 0.0.0.0 直接对公网监听 |
|---|---|
| 账号 | 按应用/角色拆分账号，只授予需要的库、集合与操作；禁用默认高权账号直连业务 |
| 传输 | 开启 TLS，证书过期纳入监控；密码与 Token 走密钥管理而非明文配置 |
| 审计 | 开启审计日志（MongoDB auditLog、ES 安全审计），保留周期与合规要求对齐 |
备份文件同样含敏感数据：备份介质加密、访问权限收紧，恢复演练时注意在隔离环境验证。