MongoDB: バックアップと復旧、セキュリティ、運用監視

# === データベース全体をバックアップ ===
mongodump --uri="mongodb://localhost:27017/shopdb" --out=/backup/2026-07-01

# === 特定コレクションをバックアップ ===
mongodump --uri="mongodb://localhost:27017/shopdb" --collection=users --out=/backup/users

# === 圧縮バックアップ ===
mongodump --uri="mongodb://localhost:27017" --gzip --archive=/backup/shopdb.gz

# === メタデータのみバックアップ ===
mongodump --uri="mongodb://localhost:27017" --db=shopdb --collection=users --query='{"role":"admin"}'

# === バックアップ全体を復旧 ===
mongorestore --uri="mongodb://localhost:27017" /backup/2026-07-01

# === 特定データベースを復旧 ===
mongorestore --uri="mongodb://localhost:27017" /backup/2026-07-01/shopdb

# === gzip圧縮バックアップを復旧 ===
mongorestore --uri="mongodb://localhost:27017" --gzip --archive=/backup/shopdb.gz

# === 既存データを上書きして復旧 ===
mongorestore --uri="mongodb://localhost:27017" --drop /backup/2026-07-01

# ShopHubで2026-07-01 10:00-10:30の注文データを誤削除、10:00の状態に戻す必要あり

# 1. 前日のフルバックアップを復旧
mongorestore --uri="mongodb://localhost:27017/shopdb_recovery" --drop /backup/2026-06-30/shopdb

# 2. ターゲット時点までoplogを再生
mongorestore --uri="mongodb://localhost:27017/shopdb_recovery" --oplogReplay --oplogLimit=1750604400 /backup/2026-06-30/oplog.bson

# 3. 復旧データを確認
mongosh --port 27017 shopdb_recovery --eval 'db.orders.count()'

# 4. 復旧データをエクスポートして本番環境にインポート
mongodump --uri="mongodb://localhost:27017/shopdb_recovery" --collection=orders --query='{"createdAt":{"$gte":{"$date":"2026-07-01T10:00:00Z"},"$lt":{"$date":"2026-07-01T10:30:00Z"}}}' --out=/recovery/orders
mongorestore --uri="mongodb://localhost:27017/shopdb" /recovery/orders

// === 管理者ユーザー作成 ===
db.createUser({
  user: 'admin',
  pwd: 'SecurePass123!',
  roles: [
    { role: 'userAdminAnyDatabase', db: 'admin' },
    { role: 'readWriteAnyDatabase', db: 'admin' }
  ]
});

// === アプリケーションユーザー作成 ===
db.createUser({
  user: 'app_user',
  pwd: 'AppPass456!',
  roles: [{ role: 'readWrite', db: 'shopdb' }]
});

// === カスタムロール作成 ===
db.createRole({
  role: 'orderManager',
  privileges: [
    { resource: { db: 'shopdb', collection: 'orders' }, actions: ['find', 'insert', 'update'] },
    { resource: { db: 'shopdb', collection: 'products' }, actions: ['find'] }
  ],
  roles: []
});

// === 権限付与 ===
db.grantRolesToUser('app_user', [{ role: 'orderManager', db: 'shopdb' }]);

// TechCorp：各チームに必要最小限の権限を付与
// 1. アプリケーションサービスアカウント（shopdbのみ読み書き）
db.createUser({
  user: 'app_service',
  pwd: 'AppSecurePass!',
  roles: [{ role: 'readWrite', db: 'shopdb' }]
});

// 2. バックアップサービスアカウント（バックアップ権限のみ）
db.createUser({
  user: 'backup_service',
  pwd: 'BackupSecurePass!',
  roles: [
    { role: 'backup', db: 'admin' },
    { role: 'readAnyDatabase', db: 'admin' }
  ]
});

// 3. データ分析チーム（読み取り専用 + 特定コレクション）
db.createRole({
  role: 'analyticsReader',
  privileges: [
    { resource: { db: 'shopdb', collection: 'orders' }, actions: ['find'] },
    { resource: { db: 'shopdb', collection: 'products' }, actions: ['find'] }
  ],
  roles: []
});
db.createUser({
  user: 'analyst',
  pwd: 'AnalystPass!',
  roles: [{ role: 'analyticsReader', db: 'shopdb' }]
});

// 4. 権限確認
db.auth('analyst', 'AnalystPass!');
db.orders.find({}); // ✅ 読み取り可能
db.orders.insertOne({}); // ❌ 権限不足

# === SSL有効でmongod起動 ===
mongod --tlsMode requireTLS --tlsCertificateKeyFile /etc/ssl/mongodb.pem

# === クライアント接続 ===
mongosh "mongodb://localhost:27017/shopdb?ssl=true&sslCertificateKeyFile=/etc/ssl/client.pem"

db.serverStatus();
// {
//   host: 'mongo1',
//   version: '7.0.5',
//   process: 'mongod',
//   uptime: 864000,
//   connections: { current: 150, available: 83860 },
//   opcounters: {
//     insert: 1234567,
//     query: 9876543,
//     update: 234567,
//     delete: 12345
//   },
//   mem: { resident: 1024, virtual: 4096 },
//   ...
// }

db.stats();
// {
//   db: 'shopdb',
//   collections: 10,
//   objects: 1000000,
//   dataSize: 524288000,
//   storageSize: 268435456,
//   indexes: 20,
//   indexSize: 52428800
// }

// === スロークエリログを有効化（>100ms）===
db.setProfilingLevel(2, { slowms: 100 });

// === スロークエリを確認 ===
db.system.profile.find({ millis: { $gt: 100 } })
  .sort({ ts: -1 })
  .limit(10);

db.products.aggregate([{ $indexStats: {} }]);
// 未使用インデックスを特定

// === 現在の操作確認 ===
db.currentOp({ "op": "query" });

// === プロセスをキル ===
db.killOp(opId);

// === コレクション圧縮 ===
db.runCommand({ compact: 'products' });

// === インデックス再構築 ===
db.products.reIndex();

// === 接続確認 ===
db.serverStatus().connections;

# === 1. 日次自動バックアップスクリプト（backup-daily.sh）===
#!/bin/bash
set -e

DATE=$(date +%Y%m%d)
BACKUP_DIR=/backup/mongodb/$DATE
RETENTION_DAYS=7

# 1.1 フルバックアップ（gzip圧縮）
mongodump   --uri="mongodb://backup_user:SecurePass@mongo1:27017,mongo2:27017,mongo3:27017/shopdb?replicaSet=rs0"   --gzip   --archive=$BACKUP_DIR.gz   --oplog  # oplogを含める、PITR対応

# 1.2 S3にアップロード
aws s3 cp $BACKUP_DIR.gz s3://my-bucket/mongodb-backups/$DATE/

# 1.3 7日前のローカルバックアップを削除
find /backup/mongodb/ -name "*.gz" -mtime +$RETENTION_DAYS -delete

# 1.4 バックアップログを記録
echo "[$(date)] バックアップ完了: $BACKUP_DIR.gz ($(du -h $BACKUP_DIR.gz | cut -f1))" >> /var/log/mongodb-backup.log

# 1.5 crontabに追加（毎日午前2時）
# 0 2 * * * /usr/local/bin/backup-daily.sh

# === 2. 復旧訓練 ===
# 2.1 利用可能なバックアップを確認
ls -lh /backup/mongodb/

# 2.2 テスト環境に復旧
mongorestore   --uri="mongodb://localhost:27017/shopdb_test"   --gzip   --archive=/backup/mongodb/20260701.gz   --drop  # 既存データを上書き

# 2.3 PITRで特定時点に復旧
mongorestore   --uri="mongodb://localhost:27017"   --gzip   --archive=/backup/mongodb/20260701.gz   --oplogReplay   --pointInTime=2026-07-01T10:30:00

// === 3. 認証有効化 + RBACユーザー作成 ===
// 3.1 管理者ユーザー作成（最初に必須）
db.createUser({
  user: 'root',
  pwd: 'RootSecurePass!',
  roles: [{ role: 'root', db: 'admin' }]
});

// 3.2 バックアップ専用ユーザー作成（最小権限）
db.createUser({
  user: 'backup_user',
  pwd: 'BackupPass!',
  roles: [
    { role: 'backup', db: 'admin' },
    { role: 'readAnyDatabase', db: 'admin' }
  ]
});

// 3.3 アプリケーションユーザー作成（shopdb読み書き）
db.createUser({
  user: 'app_user',
  pwd: 'AppPass!',
  roles: [{ role: 'readWrite', db: 'shopdb' }]
});

// 3.4 読み取り専用分析ユーザー作成
db.createUser({
  user: 'analytics_user',
  pwd: 'AnalyticsPass!',
  roles: [{ role: 'read', db: 'shopdb' }]
});

// 3.5 TLS/SSL有効化（mongod起動パラメータ）
// mongod --tlsMode requireTLS --tlsCertificateKeyFile /etc/ssl/mongodb.pem --auth

// === 4. 監視アラート ===
// スロークエリログを有効化
db.setProfilingLevel(2, { slowms: 100 });

// スロークエリTop 10を確認
db.system.profile.find({ millis: { $gt: 100 } })
  .sort({ ts: -1 })
  .limit(10)
  .forEach(p => print(`[${p.ts}] ${p.command.find}: ${p.millis}ms`));

// 接続数を監視
const stats = db.serverStatus();
print(`アクティブ接続: ${stats.connections.current}/${stats.connections.available}`);
// アラート閾値：current > 1000 → メールアラート

// === 5. 自動点検スクリプト ===
function dailyHealthCheck() {
  print('=== MongoDB 日次健康チェック ===');

  // 5.1 レプリカセットステータス
  const rsStatus = rs.status();
  const primary = rsStatus.members.find(m => m.stateStr === 'PRIMARY');
  print(`Primary: ${primary.name}`);

  // 5.2 oplogウィンドウ（上書き回避）
  const oplogWindow = primary.optimeDate ? (Date.now() - primary.optimeDate.getTime()) / 1000 : 0;
  print(`Oplogウィンドウ: ${Math.floor(oplogWindow / 3600)}時間`);
  if (oplogWindow > 24 * 3600) print('⚠️  警告: oplogウィンドウ > 24h');

  // 5.3 インデックス使用率
  const indexes = db.products.aggregate([{ $indexStats: {} }]).toArray();
  const unused = indexes.filter(i => i.accesses.ops === 0);
  print(`未使用インデックス: ${unused.length}`);
  if (unused.length > 0) {
    unused.forEach(i => print(`  - ${i.name}`));
  }
}

dailyHealthCheck();