このチュートリアルの以前のバージョンは、 MelissaAndersonによって作成されました。

序章

MongoDB は、 Mongo とも呼ばれ、最新のWebアプリケーションで一般的に使用されているオープンソースのドキュメントデータベースです。 デフォルトでは、インストールされているのと同じサーバーから発信された接続のみが許可されます。 MongoDBをリモートで管理したり、別のアプリケーションサーバーに接続したりする場合は、デフォルトの構成にいくつかの変更を加える必要があります。

このチュートリアルでは、信頼できるリモートコンピューターからのアクセスを安全に許可するようにMongoDBインストールを構成します。 これを行うには、ファイアウォールルールを更新して、MongoDBが接続をリッスンしているポートへのリモートマシンアクセスを提供してから、構成ファイルを更新してIPバインディング設定を変更します。 次に、最後のステップとして、リモートマシンがデータベースに正常に接続できることをテストします。

前提条件

このチュートリアルを完了するには、次のものが必要です。

  • Ubuntu18.04を実行しているサーバー。 このサーバーには、root以外の管理ユーザーとUFWで構成されたファイアウォールが必要です。 Ubuntu18.04の初期サーバーセットアップガイドに従ってこれをセットアップします。
  • サーバーにインストールされているMongoDB。 このチュートリアルは、MongoDB 4.4以降がインストールされていることを前提としています。 このバージョンをインストールするには、 Ubuntu18.04にMongoDBをインストールする方法に関するチュートリアルに従ってください。
  • MongoDBインスタンスにアクセスする2番目のコンピューター。 簡単にするために、このチュートリアルでは、このマシンが別のUbuntu 18.04サーバーであり、非ルート管理ユーザーとUFWファイアウォールがUbuntu18.04の初期サーバーセットアップガイドに従って構成されていることを前提としています。 ただし、データベースサーバーでリモート接続を有効にする実際の手順を説明する手順1と2は、リモートマシンが実行しているオペレーティングシステムに関係なく機能します。

最後に、このチュートリアルを完了する必要はありませんが、データベースの管理ユーザーアカウントを作成し、認証を有効にして、MongoDBのインストールを保護することを強くお勧めします。 これを行うには、 Ubuntu18.04でMongoDBを保護する方法に関するチュートリアルに従ってください。

ステップ1—ファイアウォールを調整する

前提条件の初期サーバーセットアップチュートリアルに従い、サーバーでUFWファイアウォールを有効にしたと仮定すると、MongoDBインストールにインターネットからアクセスできなくなります。 同じサーバー上で実行されているアプリケーションでローカルでのみMongoDBを使用する場合は、これが推奨される安全な設定です。 ただし、リモートの場所からMongoDBサーバーに接続できるようにする場合は、新しいUFWルールを追加して、データベースがリッスンしているポートへの着信接続を許可する必要があります。

lsofコマンドを使用して、MongoDBインストールがリッスンしているポートを確認することから始めます。 このコマンドは通常、システムで開いているすべてのファイルのリストを返しますが、-iオプションと組み合わせると、ネットワーク関連のファイルまたはデータストリームのみが一覧表示されます。

次のコマンドは、lsof -iによって生成された出力をmongoという名前の文字列を検索するgrepコマンドにリダイレクトします。

  1. sudo lsof -i | grep mongo

この出力例は、mongodプロセスがデフォルトポート27017で接続をリッスンしていることを示しています。

Output
. . .
mongod    82221         mongodb   11u  IPv4 913411      0t0  TCP localhost:27017 (LISTEN)
. . .

ほとんどの場合、MongoDBには、アプリケーションをホストしている別のサーバーなど、特定の信頼できる場所からのみアクセスする必要があります。 これを構成する1つの方法は、MongoDBサーバーで次のコマンドを実行することです。これにより、MongoDBのデフォルトのポートへのアクセスが可能になり、他の信頼できるサーバーのIPアドレスのみが明示的に許可されます。

次のコマンドを実行し、trusted_server_ipをMongoDBインスタンスへのアクセスに使用する信頼できるリモートマシンのIPアドレスに変更してください。

注：前のコマンドの出力で、MongoDBのインストールがデフォルト以外のポートでリッスンしていることが示された場合は、このコマンドで27017の代わりにそのポート番号を使用してください。

  1. sudo ufw allow from trusted_server_ip to any port 27017

今後、別のマシンからMongoDBにアクセスしたい場合は、trusted_server_ipの代わりに新しいマシンのIPアドレスを使用してこのコマンドを再実行してください。

ufwを使用して、ファイアウォール設定の変更を確認できます。

  1. sudo ufw status

出力には、リモートサーバーからポート27017へのトラフィックが許可されていることが示されます。

Output
Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
27017                      ALLOW       trusted_server_ip
OpenSSH (v6)               ALLOW       Anywhere (v6)

サービスへのアクセスを制限するためのより高度なファイアウォール設定は、 UFW Essentials：Common Firewall RulesandCommandsにあります。

次に、MongoDBをサーバーのパブリックIPアドレスにバインドして、リモートマシンからアクセスできるようにします。

ステップ2—パブリックbindIPを構成する

この時点で、ポートが開いていても、MongoDBは現在ローカルループバックネットワークインターフェイスである127.0.0.1にバインドされています。 これは、MongoDBがインストールされているサーバーで発生した接続のみを受け入れることができることを意味します。

リモート接続を許可するには、MongoDB構成ファイル（/etc/mongod.conf）を編集して、MongoDBをサーバーのパブリックにルーティング可能なIPアドレスに追加でバインドする必要があります。 このようにして、MongoDBインストールは、リモートマシンからMongoDBサーバーに対して行われた接続をリッスンできるようになります。

お好みのテキストエディタでMongoDB構成ファイルを開きます。 次の例では、nanoを使用しています。

  1. sudo nano /etc/mongod.conf

network interfacesセクションを見つけてから、bindIpの値を見つけます。

/etc/mongod.conf
. . .
# network interfaces
net:
  port: 27017
  bindIp: 127.0.0.1

. . .

この行にコンマを追加し、その後にMongoDBサーバーのパブリックIPアドレスを追加します。

/etc/mongod.conf
. . .
# network interfaces
net:
  port: 27017
  bindIp: 127.0.0.1,mongodb_server_ip

. . .

ファイルを保存して閉じます。 nanoを使用した場合は、CTRL + X、Y、ENTERの順に押してください。

次に、MongoDBを再起動して、この変更を有効にします。

  1. sudo systemctl restart mongod

その後、MongoDBインストールは、ポート27017へのアクセスを許可したマシンからのリモート接続を受け入れることができるようになります。 最後のステップとして、ステップ1でファイアウォールの通過を許可した信頼できるリモートサーバーが、サーバーで実行されているMongoDBインスタンスに到達できるかどうかをテストできます。

ステップ3—リモート接続のテスト

パブリックにルーティング可能なIPアドレスで発生する接続をリッスンするようにMongoDBインストールを構成し、サーバーのファイアウォールを介してMongoのデフォルトポートへのリモートマシンアクセスを許可したので、リモートマシンが接続できることをテストできます。

注：前提条件のセクションで説明したように、このチュートリアルでは、リモートマシンがUbuntu18.04を実行している別のサーバーであると想定しています。 手順1と2で概説したリモート接続を有効にする手順は、リモートマシンが実行しているオペレーティングシステムに関係なく機能するはずですが、この手順で説明するテスト方法は、オペレーティングシステム間で普遍的に機能するわけではありません。

信頼できるリモートサーバーがMongoDBインスタンスに接続できることをテストする1つの方法は、ncコマンドを使用することです。 ncは、 netcat の略で、TCPまたはUDPとのネットワーク接続を確立するために使用されるユーティリティです。 IPアドレスとポート番号の両方を指定できるため、このような場合のテストに役立ちます。

まず、SSHを使用して信頼できるサーバーにログインします。

  1. ssh sammy@trusted_server_ip

次に、-zオプションを含む次のncコマンドを実行します。 これにより、ncは、データを送信せずに、ターゲットサーバー上のリスニングデーモンのみをスキャンするように制限されます。 前提条件のインストールチュートリアルから、MongoDBがサービスデーモンとして実行されていることを思い出してください。このオプションは、接続のテストに役立ちます。 また、コマンドの冗長性を高めるvオプションが含まれているため、netcatは他の方法では返さない出力を返します。

信頼できるリモートサーバーから次のncコマンドを実行し、mongodb_server_ipをMongoDBをインストールしたサーバーのIPアドレスに置き換えてください。

  1. nc -zv mongodb_server_ip 27017

信頼できるサーバーがMongoDBデーモンにアクセスできる場合、その出力は接続が成功したことを示します。

Output
Connection to mongodb_server_ip 27017 port [tcp/*] succeeded!

互換性のあるバージョンのmongoシェルがリモートサーバーにインストールされていると仮定すると、この時点で、ホストサーバーにインストールされているMongoDBインスタンスに直接接続できます。

接続する1つの方法は、次のように接続文字列URIを使用することです。

  1. mongo "mongodb://mongo_server_ip:27017"

注：推奨される Ubuntu 18.04でMongoDBを保護する方法チュートリアルに従うと、認証されていないユーザーに対するデータベースへのアクセスが遮断されます。 この場合、次のように、有効なユーザー名を指定するURIを使用する必要があります。

  1. mongo "mongodb://username@mongo_server_ip:27017"

シェルは、ユーザーのパスワードを入力するように自動的に促します。

これで、MongoDBサーバーが信頼できるサーバーからの接続を受け入れることができることを確認しました。

結論

これで、リモートサーバーからMongoDBインストールにアクセスできます。 この時点で、信頼できるサーバーからリモートでMongoデータベースを管理できます。 または、信頼できるサーバーで実行し、データベースをリモートで使用するようにアプリケーションを構成することもできます。

管理ユーザーを構成して認証を有効にしていない場合は、リモートサーバーにアクセスできるすべてのユーザーがMongoDBインストールにアクセスできます。 まだ行っていない場合は、 Ubuntu 18.04でMongoDBを保護する方法のガイドに従って、管理ユーザーを追加し、さらにロックダウンすることを強くお勧めします。