MongoDB Atlas Resource Policies 如何分层实现纵深防御

MongoDB 博客发布系列文章第二篇，讲解如何用 Atlas Resource Policies 在基础设施层实现纵深防御，即在资源部署前阻止错误配置，而非上线后再发现问题。文章把数据库基础设施安全拆成三层相互独立又彼此强化的策略：网络访问控制决定哪些 IP 能尝试连接，地理与云平台控制确保数据留在合规区域，协议层则保证连接使用安全通信标准。 网络层给出三种递进做法：用策略禁止在项目 IP 访问列表中加入 0.0.0.0/0 通配地址；用 IP 允许列表建立默认拒绝的正向安全模型；要求 IP 访问列表为空，强制所有流量走 VPC peering 或 AWS PrivateLink 等私有网络。文章称团队通常先封禁通配地址，再过渡到允许列表，最终把生产负载迁到私有网络。 地理层通过云厂商限制和区域限制满足数据驻留要求，例如 GDPR 要求欧洲公民数据留在欧洲、加州消费者隐私法案有加州特定要求；协议层则设定最低 TLS 版本和必需加密套件，防止协议降级。 文中给出两套组合示例。金融服务场景叠加四条策略：封禁通配 IP、限定 aws:us-east-1 与 aws:us-west-2、要求最低 TLS 1.2、限制 maxGeneralClassInstanceSizeValue 不超过 80 以防止成本超支。医疗场景则要求 IP 访问列表为空、云厂商仅限 aws、区域限定在 us-east-1、us-east-2、us-west-1、us-west-2 四个美国区域。策略以 Cedar 策略语言编写。