MongoDB安全：创建第1个、第2个、第3个用户

最新推荐文章于 2022-09-08 20:29:27 发布

aimianwo1708

最新推荐文章于 2022-09-08 20:29:27 发布

阅读量239

点赞数

文章标签：数据库区块链 javascript ViewUI

原文链接：http://www.cnblogs.com/luo630/p/9284844.html

版权

Windows 10家庭中文版，MongoDB3.6.3，

前言

使用mongod命令基于某个空白文件夹（存放数据）启动MongoDB服务器时，要是没有使用--auth选项，启动后，任何客户端是可以无需认证就连接MongoDB服务器的。

比如，在MongoDB服务器启动后，在本机的终端输入mongo命令即可连接到MongoDB服务。

没有认证，不安全，在MongoDB服务器发布后，这是决不允许的！

因此，在使用mongod命令启动MongoDB服务器时，需要添加--auth选项，增加安全认证功能。

注意，

MongoDB默认没有添加用户的，基于易用性考虑；

在默认没有用户时，也是可以开启--auth选项的，因为MongoDB提供了一个localhost exception的功能，此功能允许用户在admin数据库中创建一个用户管理员（user administrator），此用户也是下一节要讲的创建的第1个用户。

说明，

MongoDB的安全体系支持下面三种认证机制：

-SCRAM（默认）

-MongoDB Challenge and Response (MONGODB-CR)（在3.6时被废弃）

-x.509证书鉴别（Certificate Authentication，孤不熟悉，短时间内不准备去了解）

创建第1个用户：必须

第1个用户必须是用户管理员，其角色为userAdmin或userAdminAnyDatabase，这个用户可以用下面的方式管理用户：

-创建用户

-给用户赋予（grant）或取消（revoke）某角色

-创建或修改定制角色

总之，创建第一个用户使用userAdmin或userAdminAnyDatabase角色就对了！

孤的操作（mongod的配置参数请参考其help信息）：

在空文件夹使用mongod命令启动MongoDB服务器：使用了--auth选项

mongod --dbpath d:\p\mdb018 --logpath d:\p\mdb018\log --logappend --auth --directoryperdb

创建一个基于角色userAdminAnyDatabase、用于admin数据库的用户admin：

-先在Notepad++中写入脚本（JavaScript？），如下：

1 db.createUser(
2   {
3     user: "admin",
4     pwd: "111111",
5     roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
6   }
7 )

-使用mongo命令连接MongoDB服务器，切换到admin数据库

-将前面的脚本拷贝到命令行并执行：添加用户admin成功；使用db.auth('admin', '111111')验证，返回1，成功！

-检查用户admin及其角色的信息：使用db.getUser(...)和db.getRole(....)命令

断开连接，使用选项--authenticationDatabase "admin"登录：建立连接后，db并非admin，仍然是test（与预期不符！），尚不清楚是怎么回事！

不管如何，第1个用户建立好了，角色为userAdminAnyDatabase，官文介绍说，除了local和config外，此角色的用户可以对其它数据库进行其角色允许的操作——简单地说就是，用户管理。

创建第2个用户：内建角色

MongoDB 3.6共有7类共17个内建角色，其中，Database User Roles、Database Administration Roles是所有数据库都有的角色，而其它类别的角色是admin数据库独有的。

目前MongoDB服务器中只有内建数据库，那么，添加一个名为test0709的数据库——使用use，然后编写脚本，建立用户admin0709，密码为111111，使用内建角色readWrite、dbAdmin，脚本如下：

 1 db.createUser(
 2   {
 3     user: "admin0709",
 4     pwd: "111111",
 5     roles: [
 6         { role: "readWrite", db: "test0709" },
 7         { role: "dbAdmin", db: "test0709" }
 8     ]
 9   }
10 )

脚本拷贝到终端执行：用户添加成功！

测试：

-切换到admin，使用admin0709验证；

-切换回test0709，使用admin0709验证；

-查看数据库、集合、用户信息；

-已经在数据库test0709中添加了用户admin0709，但在show dbs中却没有看到数据库test0709，为什么？那么，断开连接后，再次连接到MongoDB服务器，是否还存在数据库test0709和其上的用户admin0709呢？测试！

结果显示：show dbs查看不到数据库，但用户admin0709的信息还在。

-admin0709的其中一个角色为readWrite，那么，测试添加、删除文档——在新的数据集fruit中；

-dbAdmin角色有创建集合的功能，那么，可以使用db.createCollection(name, options)函数创建集合；

a.普通集合

b.固定大小集合（capped）

-其它测试

...

注意：用户admin0709在test0709下无法执行show dbs！

说明，孤对这些操作还不够熟练，需要多多练习才是啊！

创建第3个用户：自定义角色

除了内建角色，MongoDB还提供机制自建角色，以满足各种各样的需求，使用db.createRole()函数。

db.createRole()函数语法如下：

db.createRole(role, writeConcern)

参数role、wrieConcern都是文档，本文仅关注role文档，下面是官方示例：具体信息请参考官网

下面新建一个角色myRole：可以在前面的test0709数据库中的集合中添加文档——insert操作。

同样，将添加角色的脚本（脚本的书写规则是什么？官文在哪里？）写入到文本文件中，然后拷贝到终端执行——用admin可以添加此角色（admin0709不具备此权限）：

角色myRole添加成功，现在，基于此角色添加用户insertUser（还是用admin用户），脚本如下：

1 db.createUser(
2     {
3         user: "insertUser",
4         pwd: "111111",
5         roles: [
6             { role: "myRole", db: "test0709" }
7         ]
8     }
9 )