MongoDB에서 일반적인 SCRAM 인증 오류 문제 해결

MongoDB에서 보안을 구성하는 것은 민감한 데이터를 보호하는 데 매우 중요합니다. 최신 MongoDB 배포판은 안전한 암호 기반 인증을 위해 SCRAM(Salted Challenge Response Authentication Mechanism)에 크게 의존합니다. 그러나 SCRAM을 구현하고 관리하는 과정에서 때때로 실망스러운 연결 오류 및 액세스 거부가 발생할 수 있습니다.

이 가이드는 MongoDB에서 SCRAM 인증을 설정하거나 사용할 때 발생하는 가장 일반적인 문제를 식별하고 해결하기 위한 실용적인 문제 해결 설명서 역할을 합니다. 사용자 생성, 역할 할당 및 클라이언트 구성과 관련된 일반적인 함정을 이해함으로써 데이터베이스 보안 액세스를 신속하게 복원할 수 있습니다.

MongoDB에서 SCRAM 이해하기

SCRAM은 최신 MongoDB 버전(MongoDB 3.0+부터 강력하게 시작하여 현재 표준인 SCRAM-SHA-256을 통해 발전)의 기본 인증 메커니즘입니다. 강력한 암호 해싱을 제공하며 암호가 네트워크를 통해 평문으로 전송되는 것을 방지하여 이전 방식에 비해 주요 보안 개선 사항을 제공합니다.

문제를 해결할 때 인증 실패는 일반적으로 세 가지 영역 중 하나에서 비롯된다는 점을 기억하십시오: 서버 구성, 사용자 정의, 또는 클라이언트 연결 구문.

일반 오류 범주 1: 연결 거부 또는 인증 실패 (클라이언트 측)

이것은 가장 일반적인 증상입니다. 클라이언트가 연결할 수 없으며, 특히 인증이 엄격하게 적용될 때 종종 Authentication failed. 또는 Connection refused와 같은 메시지가 표시됩니다.

1. 잘못된 인증 메커니즘 지정

MongoDB 배포판이 SCRAM을 요구하는데 클라이언트가 이전 버전이거나 지원되지 않는 메커니즘(예: MONGODB-CR)을 사용하려고 하면 연결이 즉시 실패합니다.

해결 방법: 연결 문자열 또는 드라이버 구성에서 SCRAM을 명시적으로 요청하는지 확인하십시오.

최신 드라이버를 지원하는 클라이언트의 경우 연결 문자열은 종종 인증 메커니즘(authMechanism)을 지정합니다. SCRAM-SHA-256(권장)을 사용하는 최신 배포의 경우:

mongodb://user:password@host:27017/dbname?authSource=admin&authMechanism=SCRAM-SHA-256

팁: SCRAM 전용으로 구성된 서버에서 authMechanism을 생략하면 드라이버가 올바르게 기본값을 선택해야 하지만, 명시적으로 설정하면 모호성이 제거됩니다.

2. 잘못된 `authSource` 사용

MongoDB에서 authSource 매개변수는 사용자 계정이 정의된 데이터베이스를 지정합니다. 사용자가 admin 데이터베이스에 존재하는데 authSource=myappdb를 지정하여 연결하면 서버가 자격 증명을 찾을 수 없습니다.

예시 시나리오: 사용자 app_user가 admin 데이터베이스에 생성되었습니다.

잘못된 연결:

mongodb://app_user:password@localhost:27017/myappdb?authSource=myappdb

올바른 연결:

mongodb://app_user:password@localhost:27017/myappdb?authSource=admin

3. 네트워크 또는 바인딩 문제로 인증 실패 위장

때로는 네트워크 바인딩 문제인 경우 연결 문제가 인증 실패처럼 보일 수 있습니다. mongod 인스턴스가 127.0.0.1(localhost)에만 바인딩되어 있으면 원격 클라이언트는 인증을 시도하기도 전에 연결 거부를 받게 됩니다.

조치: mongod.conf에서 net.bindIp가 클라이언트 IP 주소(예: 모든 인터페이스의 경우 0.0.0.0 또는 특정 IP)의 연결을 허용하는지 확인하십시오.

일반 오류 범주 2: 사용자 생성 및 역할 할당 오류

인증 실패는 종종 사용자가 생성된 방식이나 할당된 권한에 근거합니다.

1. 암호 없이 사용자 생성 (또는 잘못된 형식)

mongosh 또는 mongo 셸을 사용하여 유효한 암호를 제공하지 않고 사용자를 생성하려고 하면 생성 프로세스가 조용히 실패하거나 SCRAM을 통해 성공적으로 인증할 수 없는 사용자로 이어질 수 있습니다.

생성 모범 사례: 항상 강력한 암호를 지정하고 사용자 생성 시 권장되는 SCRAM 메커니즘을 사용하고 있는지 확인하십시오.

// 먼저 admin 사용자로 연결
use admin

// SCRAM-SHA-256로 사용자 생성 (권장)
db.createUser(
  {
    user: "reader_role",
    pwd: passwordPrompt(), // 암호를 안전하게 요청
    roles: [ { role: "read", db: "mydatabase" } ]
  }
)

2. 누락되거나 잘못된 역할

성공적으로 연결했지만 사용자가 원하는 작업을 수행할 수 없는 경우(예: 데이터를 읽을 수 없음, 쓸 수 없음) 일반적인 혼란의 원인이 됩니다. 이것은 인증 실패가 아니라 권한 부여 실패이며, 최종 사용자에게는 비슷하게 나타납니다.

권한 부여 문제 해결:

역할 할당 확인: 올바른 데이터베이스(authSource)에서 show users를 사용하여 사용자가 존재하고 예상된 역할이 있는지 확인합니다.
상속된 역할 확인: 사용자 정의 역할을 사용하는 경우, 필요한 내장 역할(예: read 또는 readWrite)을 올바르게 상속하는지 확인합니다.
연결 컨텍스트: 역할은 생성 시 지정된 데이터베이스(또는 클러스터 수준 역할의 경우 admin DB)에서만 유효하다는 점을 기억하십시오.

사용자가 dbA에서 읽으려고 하지만 dbB에만 역할이 있는 경우 작업이 실패합니다.

3. 업그레이드 중 SCRAM 버전 불일치

MongoDB를 업그레이드할 때 이전 사용자는 여전히 레거시 MONGODB-CR 메커니즘을 사용하여 매핑될 수 있습니다. 서버가 오직 SCRAM-SHA-256만 수락하도록 구성된 경우 이러한 이전 사용자는 로그인이 실패합니다.

해결 방법: 서버 구성을 업그레이드한 후 기존 사용자에 대한 인증 방법을 명시적으로 업데이트해야 합니다.

현재 서버 기본값을 사용하여 다시 해싱하도록 강제하는 changePassword 명령을 사용하십시오:

// 필요한 경우 메커니즘을 암시적으로 업데이트하면서 사용자 암호 업데이트
db.changePassword(
  "old_user",
  "new_secure_password",
  { authenticationDatabase: "admin" }
)

일반 오류 범주 3: 서버 구성 문제

여러 클라이언트의 연결이 실패하는 경우 문제는 mongod 구성 파일(mongod.conf)에 있을 가능성이 높습니다.

1. 인증 비활성화됨

인증이 완전히 비활성화된 경우 자격 증명 없이 연결하는 클라이언트가 성공할 수도 있고, 클라이언트가 어쨌든 인증을 시도하면 예기치 않게 차단될 수도 있습니다. 반대로, 인증이 필요한데 구성이 잘못된 경우 연결이 실패합니다.

mongod.conf의 보안 섹션이 올바르게 설정되었는지 확인하십시오:

security:
  authorization: enabled

2. 잘못된 인터페이스에 바인딩

앞서 언급했듯이 net.bindIp가 너무 제한적이면 외부 클라이언트가 인증 서비스에 도달할 수 없습니다.

mongod.conf의 예:

로컬 액세스만: bindIp: 127.0.0.1 (원격 연결 실패)
클라우드/내부 네트워크 권장: bindIp: 0.0.0.0 (모든 인터페이스에서 연결 허용, 그러나 강력한 방화벽 규칙 필요)

3. 지원되지 않는 SCRAM 버전 사용

명시적으로 setParameter: { authSchemaVersion: 1 }(레거시)을 설정하면 최신 드라이버에서 더 이상 지원되지 않을 수 있는 이전의 덜 안전한 메커니즘에 의존하도록 강제하여 클라이언트가 SCRAM-SHA-256을 사용하는 것을 방지할 수 있습니다.

모범 사례: 최신 MongoDB 설치(4.0 이상)의 경우 authSchemaVersion: 4(SCRAM-SHA-256의 기본값)를 목표로 해야 합니다. 매우 오래된 클라이언트와의 하위 호환성이 요구되는 경우가 아니면 스키마 버전을 명시적으로 설정하지 마십시오.

SCRAM 인증 실패 요약 체크리스트

문제 해결 시 다음 순서로 확인하십시오:

서버 상태: mongod.conf에서 security.authorization이 활성화되어 있습니까?
네트워크 확인: 클라이언트가 서버 IP 및 포트에 도달할 수 있습니까( netstat 또는 telnet 사용)?
클라이언트 URI: authMechanism=SCRAM-SHA-256이 지정되어 있습니까(필요한 경우)?
authSource: authSource가 사용자가 생성된 데이터베이스와 일치합니까?
사용자 존재 여부: 지정된 authSource 데이터베이스에 사용자가 존재합니까?
암호/역할: 암호가 올바르고 사용자가 의도한 작업을 수행하는 데 필요한 최소한의 역할을 보유하고 있습니까?

이러한 구성 지점을 체계적으로 확인하면 MongoDB에서 대부분의 SCRAM 인증 오류를 신속하게 격리하고 해결할 수 있습니다.