MongoDB: 备份恢复、安全与运维

# === 备份整个数据库 ===
mongodump --uri="mongodb://localhost:27017/shopdb" --out=/backup/2026-07-01

# === 备份指定集合 ===
mongodump --uri="mongodb://localhost:27017/shopdb" --collection=users --out=/backup/users

# === 压缩备份 ===
mongodump --uri="mongodb://localhost:27017" --gzip --archive=/backup/shopdb.gz

# === 仅备份元数据 ===
mongodump --uri="mongodb://localhost:27017" --db=shopdb --collection=users --query='{"role":"admin"}'

# === 恢复整个备份 ===
mongorestore --uri="mongodb://localhost:27017" /backup/2026-07-01

# === 恢复指定数据库 ===
mongorestore --uri="mongodb://localhost:27017" /backup/2026-07-01/shopdb

# === 恢复 gzip 压缩备份 ===
mongorestore --uri="mongodb://localhost:27017" --gzip --archive=/backup/shopdb.gz

# === 恢复并覆盖现有数据 ===
mongorestore --uri="mongodb://localhost:27017" --drop /backup/2026-07-01

# ShopHub 误删了 2026-07-01 10:00-10:30 的订单数据，需要恢复到 10:00 的状态

# 1. 恢复前一天的全量备份
mongorestore --uri="mongodb://localhost:27017/shopdb_recovery" --drop /backup/2026-06-30/shopdb

# 2. 重放 oplog 到目标时间点
mongorestore --uri="mongodb://localhost:27017/shopdb_recovery" --oplogReplay --oplogLimit=1750604400 /backup/2026-06-30/oplog.bson

# 3. 验证恢复数据
mongosh --port 27017 shopdb_recovery --eval 'db.orders.count()'

# 4. 将恢复的数据导出并导入到生产
mongodump --uri="mongodb://localhost:27017/shopdb_recovery" --collection=orders --query='{"createdAt":{"$gte":{"$date":"2026-07-01T10:00:00Z"},"$lt":{"$date":"2026-07-01T10:30:00Z"}}}' --out=/recovery/orders
mongorestore --uri="mongodb://localhost:27017/shopdb" /recovery/orders

test> // MongoDB shell 操作成功

// === 创建管理员用户 ===
db.createUser({
  user: 'admin',
  pwd: 'SecurePass123!',
  roles: [
    { role: 'userAdminAnyDatabase', db: 'admin' },
    { role: 'readWriteAnyDatabase', db: 'admin' }
  ]
});

// === 创建应用用户 ===
db.createUser({
  user: 'app_user',
  pwd: 'AppPass456!',
  roles: [{ role: 'readWrite', db: 'shopdb' }]
});

// === 启用认证（mongod 启动参数）===
mongod --auth --bind_ip_all

// === 自定义角色 ===
db.createRole({
  role: 'orderManager',
  privileges: [
    { resource: { db: 'shopdb', collection: 'orders' }, actions: ['find', 'insert', 'update'] },
    { resource: { db: 'shopdb', collection: 'products' }, actions: ['find'] }
  ],
  roles: []
});

// === 授权 ===
db.grantRolesToUser('app_user', [{ role: 'orderManager', db: 'shopdb' }]);

// TechCorp：为不同团队配置最小权限
// 1. 应用服务账号（仅读写 shopdb）
db.createUser({
  user: 'app_service',
  pwd: 'AppSecurePass!',
  roles: [{ role: 'readWrite', db: 'shopdb' }]
});

// 2. 备份服务账号（仅备份权限）
db.createUser({
  user: 'backup_service',
  pwd: 'BackupSecurePass!',
  roles: [
    { role: 'backup', db: 'admin' },
    { role: 'readAnyDatabase', db: 'admin' }
  ]
});

// 3. 数据分析团队（只读 + 特定集合）
db.createRole({
  role: 'analyticsReader',
  privileges: [
    { resource: { db: 'shopdb', collection: 'orders' }, actions: ['find'] },
    { resource: { db: 'shopdb', collection: 'products' }, actions: ['find'] }
  ],
  roles: []
});
db.createUser({
  user: 'analyst',
  pwd: 'AnalystPass!',
  roles: [{ role: 'analyticsReader', db: 'shopdb' }]
});

// 4. 验证权限
db.auth('analyst', 'AnalystPass!');
db.orders.find({}); // ✅ 可以读
db.orders.insertOne({}); // ❌ 权限不足

// mongoose 操作成功执行
// 数据库查询/更新结果

# === 启动带 SSL 的 mongod ===
mongod --tlsMode requireTLS --tlsCertificateKeyFile /etc/ssl/mongodb.pem

# === 客户端连接 ===
mongosh "mongodb://localhost:27017/shopdb?ssl=true&sslCertificateKeyFile=/etc/ssl/client.pem"

db.serverStatus();
// {
//   host: 'mongo1',
//   version: '7.0.5',
//   process: 'mongod',
//   uptime: 864000,
//   connections: { current: 150, available: 83860 },
//   opcounters: {
//     insert: 1234567,
//     query: 9876543,
//     update: 234567,
//     delete: 12345
//   },
//   mem: { resident: 1024, virtual: 4096 },
//   ...
// }

db.stats();
// {
//   db: 'shopdb',
//   collections: 10,
//   objects: 1000000,
//   dataSize: 524288000,
//   storageSize: 268435456,
//   indexes: 20,
//   indexSize: 52428800
// }

// === 启用慢查询日志（>100ms）===
db.setProfilingLevel(2, { slowms: 100 });

// === 查看慢查询 ===
db.system.profile.find({ millis: { $gt: 100 } })
  .sort({ ts: -1 })
  .limit(10);

db.products.aggregate([{ $indexStats: {} }]);
// 找出未使用的索引

// === 当前操作 ===
db.currentOp({ "op": "query" });

// === 杀进程 ===
db.killOp(opId);

// === 压缩集合 ===
db.runCommand({ compact: 'products' });

// === 重建索引 ===
db.products.reIndex();

// === 查看连接 ===
db.serverStatus().connections;

# === 1. 每日自动备份脚本（backup-daily.sh）===
#!/bin/bash
set -e

DATE=$(date +%Y%m%d)
BACKUP_DIR=/backup/mongodb/$DATE
RETENTION_DAYS=7

# 1.1 全量备份（gzip 压缩）
mongodump   --uri="mongodb://backup_user:SecurePass@mongo1:27017,mongo2:27017,mongo3:27017/shopdb?replicaSet=rs0"   --gzip   --archive=$BACKUP_DIR.gz   --oplog  # 包含 oplog，支持 PITR

# 1.2 上传到 S3
aws s3 cp $BACKUP_DIR.gz s3://my-bucket/mongodb-backups/$DATE/

# 1.3 清理 7 天前的本地备份
find /backup/mongodb/ -name "*.gz" -mtime +$RETENTION_DAYS -delete

# 1.4 记录备份日志
echo "[$(date)] Backup completed: $BACKUP_DIR.gz ($(du -h $BACKUP_DIR.gz | cut -f1))" >> /var/log/mongodb-backup.log

# 1.5 添加到 crontab（每天凌晨 2 点）
# 0 2 * * * /usr/local/bin/backup-daily.sh

# === 2. 恢复演练 ===
# 2.1 查看可用备份
ls -lh /backup/mongodb/

# 2.2 恢复到测试环境
mongorestore   --uri="mongodb://localhost:27017/shopdb_test"   --gzip   --archive=/backup/mongodb/20260701.gz   --drop  # 覆盖现有数据

# 2.3 PITR 恢复到指定时间点
mongorestore   --uri="mongodb://localhost:27017"   --gzip   --archive=/backup/mongodb/20260701.gz   --oplogReplay   --pointInTime=2026-07-01T10:30:00

test> // MongoDB shell 操作成功

// === 3. 启用认证 + 创建 RBAC 用户 ===
// 3.1 创建管理员用户（第一个必须）
db.createUser({
  user: 'root',
  pwd: 'RootSecurePass!',
  roles: [{ role: 'root', db: 'admin' }]
});

// 3.2 创建备份专用用户（最小权限）
db.createUser({
  user: 'backup_user',
  pwd: 'BackupPass!',
  roles: [
    { role: 'backup', db: 'admin' },
    { role: 'readAnyDatabase', db: 'admin' }
  ]
});

// 3.3 创建应用用户（读写 shopdb）
db.createUser({
  user: 'app_user',
  pwd: 'AppPass!',
  roles: [{ role: 'readWrite', db: 'shopdb' }]
});

// 3.4 创建只读分析用户
db.createUser({
  user: 'analytics_user',
  pwd: 'AnalyticsPass!',
  roles: [{ role: 'read', db: 'shopdb' }]
});

// 3.5 启用 TLS/SSL（mongod 启动参数）
// mongod --tlsMode requireTLS --tlsCertificateKeyFile /etc/ssl/mongodb.pem --auth

// === 4. 监控告警 ===
// 启用慢查询日志
db.setProfilingLevel(2, { slowms: 100 });

// 查看慢查询 Top 10
db.system.profile.find({ millis: { $gt: 100 } })
  .sort({ ts: -1 })
  .limit(10)
  .forEach(p => print(`[${p.ts}] ${p.command.find}: ${p.millis}ms`));

// 监控连接数
const stats = db.serverStatus();
print(`Active connections: ${stats.connections.current}/${stats.connections.available}`);
// 告警阈值：current > 1000 → 邮件告警

// === 5. 自动化巡检脚本 ===
function dailyHealthCheck() {
  print('=== MongoDB Daily Health Check ===');

  // 5.1 副本集状态
  const rsStatus = rs.status();
  const primary = rsStatus.members.find(m => m.stateStr === 'PRIMARY');
  print(`Primary: ${primary.name}`);

  // 5.2 oplog 窗口（避免滚动覆盖）
  const oplogWindow = primary.optimeDate ? (Date.now() - primary.optimeDate.getTime()) / 1000 : 0;
  print(`Oplog window: ${Math.floor(oplogWindow / 3600)} hours`);
  if (oplogWindow > 24 * 3600) print('⚠️  WARNING: oplog window > 24h');

  // 5.3 索引使用率
  const indexes = db.products.aggregate([{ $indexStats: {} }]).toArray();
  const unused = indexes.filter(i => i.accesses.ops === 0);
  print(`Unused indexes: ${unused.length}`);
  if (unused.length > 0) {
    unused.forEach(i => print(`  - ${i.name}`));
  }
}

dailyHealthCheck();