MongoDB 3.2.7进行用户权限管理配置

用户权限设置

掌握权限,理解下面4条基本上就差不多

1. MongoDB是没有默认管理员账号,所以要先添加管理员账号,再开启权限认证。
2. 切换到admin数据库,添加的账号才是管理员账号。
3. 用户只能在用户所在数据库登录,包括管理员账号。
4. 管理员可以管理所有数据库,但是不能直接管理其他数据库,要先在admin数据库认证后才可以

添加管理员账号

[root@snails ~]# mongo --host=127.0.0.1 --port=27017
MongoDB shell version: 3.2.7
connecting to: 127.0.0.1:27017/test
> use admin 
> show collections
> db.createUser(
   {
     user: "admin",
     pwd: "mongodb:passok",
     roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
   }
)
Successfully added user: {
    "user" : "admin",
    "roles" : [
        {
            "role" : "userAdminAnyDatabase",
            "db" : "admin"
        }
    ]
}
> show users
> db.system.users.find()

开启权限验证

[root@snails ~]# echo "auth = true" >> /root/mongodb/bin/mongodb.conf
重启mongodb

验证权限是否生效

[root@snails ~]# mongo --port=27017
MongoDB shell version: 3.2.7
connecting to: 127.0.0.1:27017/test
> show dbs
2016-07-19T17:32:37.258+0800 E QUERY    [thread1] Error: listDatabases failed:{
    "ok" : 0,
    "errmsg" : "not authorized on admin to execute command { listDatabases: 1.0 }",
    "code" : 13
} :
_getErrorWithCode@src/mongo/shell/utils.js:25:13
Mongo.prototype.getDBs@src/mongo/shell/mongo.js:62:1
shellHelper.show@src/mongo/shell/utils.js:760:19
shellHelper@src/mongo/shell/utils.js:650:15
@(shellhelp2):1:1
> use admin
switched to db admin
> db.auth('admin','mongodb:passok')
1
> show dbs
admin  0.000GB
local  0.000GB

添加普通用户

> use mydb
switched to db mydb
> db.createUser(
   {
     user: "tonny",
     pwd: "tonny@passok",
     roles: [ { role: "readWrite", db: "mydb" } ]
   }
)
Successfully added user: {
    "user" : "tonny",
    "roles" : [
        {
            "role" : "readWrite",
            "db" : "mydb"
        }
    ]
}
> exit
bye
[root@snails ~]# mongo
MongoDB shell version: 3.2.7
connecting to: test
> use mydb
switched to db mydb
> db.auth('tonny','tonny@passok')
1

MongoDB数据库角色

内建的角色

数据库用户角色:read、readWrite;
数据库管理角色:dbAdmin、dbOwner、userAdmin;
集群管理角色:clusterAdmin、clusterManager、clusterMonitor、hostManager;
备份恢复角色:backup、restore;
所有数据库角色:readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
超级用户角色:root // 这里还有几个角色间接或直接提供了系统超级用户的访问(dbOwner 、userAdmin、userAdminAnyDatabase)
内部角色:__system

角色说明:

Read:允许用户读取指定数据库
readWrite:允许用户读写指定数据库
dbAdmin:允许用户在指定数据库中执行管理函数,如索引创建、删除,查看统计或访问system.profile
userAdmin:允许用户向system.users集合写入,可以找指定数据库里创建、删除和管理用户
clusterAdmin:只在admin数据库中可用,赋予用户所有分片和复制集相关函数的管理权限。
readAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的读权限
readWriteAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的读写权限
userAdminAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的userAdmin权限
dbAdminAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的dbAdmin权限。
root:只在admin数据库中可用。超级账号,超级权限

其它情况

有时候我们只给readWirte权限的普通用户会出现权限不足无法创建索引等问题,所以一般可以readWirte和dbAdmin权限同时给,我试过只给dbAdmin权限没有readWirte会出现无法查询数据的情况,所以一般建立普通用户可以如下操作

use test2
db.createUser({user:'test2user',pwd:'test2pwd',roles:['readWrite','dbAdmin']})

查看所有用户

use admin
db.system.users.find()

删除指定用户需要用root权限的账号

mongos> use admin
mongos> db.auth('admin','zlfzy')        #这个是userAdminAnyDatabase
1
mongos> db.createUser({user:"zt",pwd:"zlfzy",roles:[{role:"root",db:"admin"}]})
Successfully added user: {
    "user" : "zy",
    "roles" : [
        {
            "role" : "root",
            "db" : "admin"
        }
    ]
}
mongos> use admin
switched to db admin
mongos> db.auth('zt','zlfzy')
1
mongos> db.system.users.remove({"user":"test1"})
WriteResult({ "nRemoved" : 1 })

手动更新某用户的权限,不用删除重建

未更新前
mongos> db.system.users.find()
{ "_id" : "zlfzy.zlfzy", "user" : "zlfzy", "db" : "zlfzy", "credentials" : { "SCRAM-SHA-1" : { "iterationCount" : 10000, "salt" : "e6j7XhXTT+pk/k48GKMd0Q==", "storedKey" : "j/CWurXund5+y8ufipGeQJlQqdc=", "serverKey" : "VWm5VldudCwIB2FBO9I8eIHFkq4=" } }, "roles" : [ { "role" : "dbAdmin", "db" : "zlfzy" } ] }
更新操作:
mongos> db.system.users.save({
... "_id" : "zlfzy.zlfzy",
... "user" : "zlfzy",
... "db" : "zlfzy",
... "credentials" : { "SCRAM-SHA-1" : { "iterationCount" : 10000, "salt" : "e6j7XhXTT+pk/k48GKMd0Q==", "storedKey" : "j/CWurXund5+y8ufipGeQJlQqdc=", "serverKey" : "VWm5VldudCwIB2FBO9I8eIHFkq4=" } }, 
... "roles" : [ { "role" : "readWrite", "db" : "zlfzy" }, { "role" : "dbAdmin", "db" : "zlfzy" } ]
... }
... )
WriteResult({ "nMatched" : 1, "nUpserted" : 0, "nModified" : 1 })
更新后:
mongos> db.system.users.find()
{ "_id" : "zlfzy.zlfzy", "user" : "zlfzy", "db" : "zlfzy", "credentials" : { "SCRAM-SHA-1" : { "iterationCount" : 10000, "salt" : "e6j7XhXTT+pk/k48GKMd0Q==", "storedKey" : "j/CWurXund5+y8ufipGeQJlQqdc=", "serverKey" : "VWm5VldudCwIB2FBO9I8eIHFkq4=" } }, "roles" : [ { "role" : "readWrite", "db" : "zlfzy" }, { "role" : "dbAdmin", "db" : "zlfzy" } ] }

命令

[root@snails ~]# ps -ef|grep mongod
[root@snails ~]# mongo --host=127.0.0.1 --port=27017
MongoDB shell version: 3.2.7
connecting to: 127.0.0.1:27017/test
> show dbs  #显示数据库列表 
> show collections  #显示当前数据库中的集合(类似关系数据库中的表)
> show users  #显示用户
> use <db name>  #切换当前数据库,如果数据库不存在则创建数据库。 
> db.help()  #显示数据库操作命令,里面有很多的命令 
> db.foo.help()  #显示集合操作命令,同样有很多的命令,foo指的是当前数据库下,一个叫foo的集合,并非真正意义上的命令 
> db.foo.find()  #对于当前数据库中的foo集合进行数据查找(由于没有条件,会列出所有数据) 
> db.foo.find( { a : 1 } )  #对于当前数据库中的foo集合进行查找,条件是数据中有一个属性叫a,且a的值为1

MongoDB没有创建数据库的命令,但有类似的命令。
如:如果你想创建一个“myTest”的数据库,先运行use myTest命令,之后就做一些操作(如:db.createCollection('user')),这样就可以创建一个名叫“myTest”的数据库。

其他常用操作命令

> db.dropDatabase()  #删除当前使用数据库
> db.cloneDatabase("127.0.0.1")   #将指定机器上的数据库的数据克隆到当前数据库
> db.copyDatabase("mydb", "temp", "127.0.0.1")  #将本机的mydb的数据复制到temp数据库中
> db.repairDatabase()  #修复当前数据库
> db.getName()  #查看当前使用的数据库,也可以直接用db
> db.stats()  #显示当前db状态
> db.version()  #当前db版本
> db.getMongo()  #查看当前db的链接机器地址
> db.serverStatus()  #查看数据库服务器的状态
添加新评论