Práticas recomendadas de segurança de servidor do MongoDB MCP

Exemplo de arquivo de configuração JSON

O exemplo a seguir mostra --readOnly no arquivo de configuração JSON do cliente MCP para o aplicação cliente Execution Desktop :

{
   "mcpServers": {
      "MongoDB": {
         "type": "stdio",
         "command": "npx",
         "args": [
            "-y",
            "mongodb-mcp-server@latest",
            "--connectionString",
            "mongodb://localhost:27017/myDatabase",
            "--readOnly"
         ]
      }
   }
}

Para obter outros exemplo de arquivos de configuração JSON do cliente ,consulte Configurar o servidor MCP.

Exemplo de linha de comando

O exemplo seguinte define --readOnly com o comando npx:

npx -y mongodb-mcp-server@latest  \
   --connectionString "mongodb://localhost:27017/myDatabase" \
   --readOnly

Segredos e variáveis de ambiente

Use variáveis de ambiente para passar segredos e connection strings para o servidor MCP.

As variáveis de ambiente são mais seguras porque os argumentos da linha de comando podem ser rastreados, armazenados em cache e aparecem em locais diferentes no computador.

O exemplo a seguir define a variável de ambiente MDB_MCP_READ_ONLY como true:

"MongoDB": {
   "type": "stdio",
   "command": "npx",
   "args": [
      "-y",
      "mongodb-mcp-server@latest",
   ],
   "env": {
      "MDB_MCP_READ_ONLY": true
   }
}

Para obter mais informações sobre variáveis de ambiente, consulte Definição de variáveis de ambiente do servidor MCP.

Servidor MCP local

Em um servidor MCP local, o servidor MCP e o aplicação cliente são executados no mesmo computador.

Um servidor MCP local permite o controle sobre o ambiente de instalação:

• Configuração e dependências: você gerencia as dependências de software do Servidor MCP. Para definir os parâmetros do servidor MCP e as conexões do banco de dados , edite arquivos no computador local.

• Segurança de credenciais: informações confidenciais para chaves API e connection strings são armazenadas localmente em arquivos de configuração ou variáveis de ambiente. Você protege as credenciais.

• Atualizações manuais de software: quando uma nova versão do MCP Server está disponível, os usuários podem baixar e instalar o software MCP Server. Isso pode fazer com que os usuários executem versões diferentes do MCP Server.

Servidor MCP remoto

Em um sistema remoto do Servidor MCP, o Servidor MCP é executado em um computador na nuvem ou em um servidor local.

Os aplicativos do cliente se conectam ao Servidor MCP pela rede e usam o Streamable HTTP. Isso fornece um ambiente compartilhado central acessível a vários usuários, sistemas automatizados, aplicativos e agentes de IA.

Considere os seguintes pontos para sistemas remotos do Servidor MCP:

• A implementação remota tem riscos adicionais de segurança e requer uma configuração segura.

• No mínimo, você precisa configurar o isolamento da rede, a autenticação no Servidor MCP e configurar o gerenciamento de segredos na nuvem ou no local.

Autorização delegada

Na autorização delegada, o usuário delega um subconjunto de sua autoridade a um agente. O MongoDB recomenda o uso do OAuth 2.1 com o servidor MCP.

Para operar com o servidor MCP, uma implantação deve ter um servidor de autorização OAuth (AS) protegido por contas de usuário autenticadas e um proxy na frente do servidor MCP que opere como um servidor de recursos OAuth (RS). O agente opera como um cliente OAuth .

A delegação OAuth opera da seguinte forma:

1. O agente solicita acesso ao servidor MCP. O servidor MCP é protegido por um proxy.

2. O proxy envia o agente para o AS, que inicia uma solicitação de autorização

3. O usuário faz login no AS e autoriza o agente a acessar o RS, que é o proxy que protege o servidor MCP.

4. O agente recebe um token de acesso para acessar o RS.

5. O agente usa o token de acesso para chamar o servidor MCP por meio do proxy.

6. O proxy valida o token de acesso e permite a chamada para o servidor MCP.

7. O Servidor MCP recebe a solicitação de proxy e executa o comando no banco de dados por meio da conexão segura configurada estaticamente.

O servidor MCP e o banco de dados nunca leem o token de acesso. O proxy é confiável para proteger o servidor MCP. Ignorar o proxy arrisca acessar o Servidor MCP e os bancos de dados que o Servidor MCP pode acessar.

O formato do token é oculto. OsJWTs são um formato comum que permite ao proxy verificar de forma independente o token emitido pelo AS.

Autenticação direta

A autenticação direta não é recomendada.

Com a autenticação direta, o agente fornece credenciais para o proxy. O proxy autentica as credenciais. As credenciais podem ser uma chave de API ou outra credencial que identifique o agente. O padrão é simples, mas tem os seguintes problemas:

• Somente o agente é identificado, não o usuário para o qual o agente está agindo.

• Não há um método para auditar quem está realizando qual ação por meio do servidor MCP.

• O acesso geralmente é controlado centralmente para todos os usuários ou diretamente no proxy.

Personificação do usuário

Não use a representação de usuário.

Com a representação do usuário, o usuário fornece suas credenciais diretamente ao agente. O agente envia as credenciais ao proxy para autenticação. A representação do usuário tem os seguintes problemas:

• Somente o usuário é identificado. O fato de o agente agir em nome do usuário é oculto.

• As credenciais do usuário são vazadas para sistemas intermediários. Isso coloca as contas de usuário em risco.

• As ações que o usuário pode executar são permitidas para o agente, e a liberação limitada de funções é impossível.

• A desconexão de um agente exige a rotação das credenciais do usuário, o que interrompe as contas e os sistemas do usuário.

• As credenciais não phishable e não repetíveis não podem operar.

Autenticação de passagem

Não use autenticação de passagem.

Na autenticação de passagem, o agente obtém e passa credenciais para acessar o banco de dados para o proxy. O proxy valida as credenciais e as passa para o servidor MCP. O Servidor MCP utiliza as credenciais para se conectar ao banco de dados. A autenticação de passagem tem os seguintes problemas:

• Somente credenciais copiáveis e reproduzíveis podem operar, o que limita as conexões a opções de baixa segurança.

• A cadeia de conexão está ocultada do sistema.

• Qualquer um pode potencialmente omitir a próxima parte da cadeia.

Autenticação e autorização de banco de dados

O servidor MCP suporta os seguintes métodos de autenticação do banco de dados :

• Autenticação empresarial com certificados LDAP, X.509, OIDC e Kerberos.

• Autenticação padrão do SCRAM-SHA-256 para fornecer autenticação de senha forte.

• Autenticação de certificadomTLS para contas de serviço e comunicação entre clusters.

O banco de dados MongoDB suporta os seguintes métodos de autorização :

• RBAC para limitar o acesso ao banco de dados .

• Permissões de banco de dados granulares para limitar o acesso a bancos de dados específicos, collections individuais e operações como leitura, escrita e ações administrativas.

• Funções de banco de dados personalizadas para equipes. Por exemplo, acesso somente leitura para equipe de analítica e acesso de leitura e gravação para equipe de operações.

• Segurança adicional da collection para limitar o acesso à collection.

Segurança de rede

Recomendações para isolamento de rede:

• Implemente clusters em um VPC privado ou VNet sem acesso direto à Internet.

• Conexões seguras à rede privada na nuvem com emparelhamento de VPC e endpoints privados.

• Restrinja o acesso ao banco de dados a endereços IP ou blocos CIDR específicos.

Recomendações para configuração de firewall :

• Restringir o acesso à porta 27017 do servidor MongoDB somente a servidores de aplicação autorizados.

• Configure as regras do firewall da nuvem com grupos de segurança e uma ACL para o tráfego de rede de entrada e saída.

• Desative as portas não criptografadas e aplique TLS 1.2+ a todas as conexões.