如何在 MongoDB Atlas 中设置多重身份验证

MongoDB Atlas 要求所有帐户启用多重身份验证（MFA）。即使有人窃取了您的密码，MFA 仍可通过在密码之外增加一道验证步骤来帮助阻止未经授权的访问。如果您是首次使用 Atlas，您需要在帐户设置过程中配置 MFA。

本指南将介绍可用的 MFA 选项，包括身份验证器应用、Okta Verify、安全密钥与生物识别，以及电子邮件验证。您将了解：

• 为什么 MFA 能在密码之外进一步强化 MongoDB Atlas 的安全性
• 如何为社交登录和 Atlas 凭据配置 MFA
• 可用的 MFA 方法以及各自的适用场景
• 保持身份验证安全的最佳实践

为什么 MFA 对 MongoDB Atlas 至关重要

您的 MongoDB Atlas 数据库包含可能被攻击者盯上的敏感信息。仅依赖单一密码会让您的帐户暴露风险，因为一旦密码泄露，攻击者便可完全访问您的数据。

为降低此风险，MFA 通过增加额外的验证步骤来强化您的安全性。这一步可防范常见威胁，例如凭证填充（攻击者尝试使用从其他服务泄露的密码来访问您的 MongoDB Atlas 帐户）。它也有助于阻止网络钓鱼攻击，因为仅凭被盗密码不足以登录。

除了安全性，MFA 对合规也很重要。许多行业标准要求对存储或处理敏感信息的系统启用多重身份验证。在您的 MongoDB Atlas 帐户上使用 MFA 有助于满足这些要求。

最后，未经授权访问的后果可能十分严重。攻击者可能会删除集合、修改或窃取记录、暴露客户数据，甚至勒索您的信息。他们还可能滥用您的数据库资源，对其他系统发起攻击，从而给您带来意外成本和法律风险。

了解 MongoDB Atlas 中的 MFA 选项

您在 Atlas 中如何配置 MFA 取决于您的注册方式。不同的身份验证方式在不同位置管理 MFA 设置。

MongoDB Atlas 支持两种身份验证方式：

• Atlas 凭据：如果您使用电子邮件和密码注册，您可直接通过 MongoDB Atlas 界面配置 MFA。Atlas 提供多种可选的 MFA 方法。
• 联合身份：您的 MFA 由您的身份提供商管理，而非 MongoDB Atlas。联合身份包括：
  • 社交登录：如果您使用 Google 或 GitHub 注册，您需在这些提供商的帐户设置中管理 MFA。在那里配置的任何两步验证会自动应用于您的 MongoDB Atlas 登录。
  • SAML SSO：如果您的组织使用 SAML 单点登录（如 Okta 或 Azure AD），管理员可通过身份提供商的设置在组织层面强制执行 MFA 及特定身份验证方法。

使用社交登录设置 MFA

针对联合登录的 MFA 设置取决于您在 MongoDB Atlas 中使用的登录方式。

使用 Google 登录

如果您使用 Google 注册并随后通过 Google 登录，您的 MFA 由您的 Google 帐户设置管理，而非 MongoDB Atlas。您在 Google 中配置的任何两步验证方法都会自动应用于 Atlas 登录。

有关配置 Google 两步验证，请参阅 开启两步验证。

使用 GitHub 登录

如果您使用 GitHub 注册并随后通过 GitHub 登录，您的 MFA 由您的 GitHub 帐户设置管理，而非 MongoDB Atlas。

有关配置 GitHub 双重身份验证，请参阅 配置双重身份验证。

使用 Atlas 凭据设置 MFA

如果您使用电子邮件和密码注册，您可以直接通过 MongoDB Atlas 界面配置 MFA。Atlas 提供多种 MFA 选项。

要配置 MFA，请按以下步骤操作：

1. 点击 Account > Manage your MongoDB Account > Security。
2. 选择一种可用的 MFA 方法：
   • Security Key/Biometric
   • Okta Verify Mobile App
   • Authenticator App
   • Email

安全密钥/生物识别

安全密钥/生物识别身份验证包括符合 FIDO2（Fast IDentity Online 2）标准的 MFA 方法，例如 Windows Hello 或 Apple Touch ID。

要设置安全密钥/生物识别 MFA：

1. 在 Security Key/Biometric 部分点击 SET UP。
2. 使用现有的身份验证方法验证您的身份。
3. 点击 Enroll，并按照系统说明注册您的安全密钥或生物识别设备。

Okta Verify 移动应用

Okta Verify 是一款移动身份验证应用，可生成基于时间的一次性密码（TOTP），并发送推送通知以批准登录尝试。

要设置 Okta Verify 移动应用：

1. 在 Okta Verify Mobile App 部分点击 SET UP。
2. 使用现有方法验证您的身份。
3. 从 App Store 或 Google Play 下载 Okta Verify 应用。
4. 打开应用并扫描屏幕上显示的二维码。
5. 输入应用中的验证码以完成注册。

身份验证器应用

身份验证器应用（如 Google Authenticator、Microsoft Authenticator 和 Authy）会在您的移动设备上生成 TOTP。要设置身份验证器应用：

1. 在 Authenticator App 部分点击 SET UP。
2. 使用现有方法验证您的身份。
3. 从 App Store 或 Google Play 商店下载任一身份验证器应用。
4. 按照所下载应用中的指引进行操作。

电子邮件

MongoDB Atlas 在您每次登录时都会向您注册的电子邮件地址发送一次性验证码。

此方法无需额外应用或设备即可提供基础安全性。使用该方法时，请为您的电子邮箱访问本身启用 MFA，以确保整体安全性。

MFA 安全最佳实践

除电子邮件外，至少配置两种 MFA 方法，以防其中一种不可用或您失去访问权限时仍可登录。这可避免您被锁定在帐户之外。

此外，您在设置身份验证器应用后会获得恢复代码。请下载这些代码，并将其安全地存储在密码管理器、加密位置或云备份中。同时，切勿将其保存在明文文件中或与他人共享。

验证码和恢复代码都是一次性凭据。请将其视为密码，切勿通过电子邮件、聊天或电话共享。

注意：MongoDB 支持团队在您登录时绝不会索取您的验证码。

最后，当您更换设备时请立即更新您的 MFA 设置。从帐户中移除旧设备，并重新注册您的新手机或安全密钥，以防止因设备遗失或被盗而导致的未经授权访问。

要点回顾

• 所有 MongoDB Atlas 帐户都必须启用 MFA。
• 至少配置两种 MFA 方法以便帐户恢复。
• 安全密钥和生物识别可提供抗钓鱼的防护。
• 妥善保存恢复代码，更换设备时及时更新 MFA 设置。