多租户MongoDB mongo本机驱动程序连接池

Question

我们正在尝试使用nodejs/mongo原生驱动程序实现下面演示（幻灯片13-18）中概述的策略。

https://www.slideshare.net/mongodb/securing-mongodb-to-serve-an-awsbased-multitenant-securityfanatic-saas-application

总结：

• 从node.js.创建到mongoDB的连接池
• 对于租户的每个请求，从池中获取一个连接并对其进行“身份验证”。使用经过身份验证的连接来服务请求。响应后，将连接返回到池中。

我可以使用mongo本机驱动程序创建到mongodb的连接池，而无需指定任何数据库，如下所示：

const Client=new MongoClient（'mongodb://localhost:27017'，{useNewUrlParser： true， poolSize： 10}）；

但是，为了获得db对象，我需要执行以下操作：

const db=client。db（dbName）

这是我想要验证连接的地方，而且它已经被弃用/从最近的mongo驱动程序节点中删除。js和java。

从演示文稿来看，这似乎与旧版本的Java驱动程序有关。

我是否可以使用单个连接池并使用相同的连接对单个数据库的租户进行身份验证？

我们的另一种选择是每个租户都有一个连接池，这在目前对我们没有吸引力。

任何帮助都将不胜感激，包括不推荐/删除此功能的原因。




Answer 1

是幻灯片上的我！！：）我记得那次会议，很有趣。

是的，这已经不起作用了，他们在我们实现它6个月后就终止了这项伟大的功能，当时我们正在测试阶段。我们必须改变工作方式。。

令人遗憾的是，直到今天，在Mongo中，“连接”（网络内容、SSL、群集标识）和身份验证是两个独立的操作。考虑一下，当您运行mongo shell时，您提供了主机、端口、副本集（如果有），以及您的in连接！但未经认证。然后，您可以向user1进行身份验证，然后再向user2进行身份验证，并执行只有user2才能执行的操作。这是在同一个连接上完成的！无需再次创建通道、SSL握手等开销。。。

当时，驱动程序让我们拥有一个“空白”连接的连接池，我们可以在当前执行线程的上下文中随意对当前租户进行身份验证。

然后他们弃用了这个功能，我想是在Mongo 2.4中。现在他们只支持在创建时经过身份验证的连接。我们询问了企业支持，他们没有说为什么，但在我看来，他们发现这种方式不安全，“旧”身份验证可能会泄露，停留在“不那么空白”的可重用连接上。

我们对多租户infra实现进行了更改，从一个大的空白连接池更改为多个（小的）经过身份验证的连接池，每个租户一个池。每个租户的这些池可能非常小，比如3个或5个连接。这个解决方案可以很好地扩展到数百个租户，但为了满足数千个租户的需求，我们必须进行各种优化，以根据需要创建池，在空闲时间后关闭池，为非活动或Hibernate租户延迟创建池，等等。这使我们可以扩展得更多。。。我们仍在研究解决方案和优化。

您始终可以返回到具有多个数据库访问权限的Mongo用户的全局身份验证连接池。是的，您可以在同一个经过身份验证的连接上切换数据库。您只是不能切换身份验证...这是纯MongoJava驱动程序的示例，我们使用了提供类似功能的Spring：

MongoClient mongoClient = new MongoClient();
DB cust1db = mongoClient.getDB("cust1");
cust1db.get...
DB cust2db = mongoClient.getDB("cust2");
cust2db.get...

有点相关，我建议在rest中查看MongoDB加密，这是一个企业特性。根据不同密钥加密每个数据库（每个客户）的唯一方法。