安装MongoDB后,先关闭auth认证,此时数据库只有一个local库。
1、 创建一个账号,该账号需要有grant权限,即:账号管理的授权权限。
注:账号是跟着库走的,所以在指定库里授权,必须也在指定库里验证(auth),哪里创建哪里认证
#使用admin库
> use admin
#创建用户
> db.createUser(
{
user:'user1',
pwd:'user1',
roles[{role:'userAdminAnyDatabase',db:'admin'}]
}
)
roles:指定用户的角色,可以用一个空数组给新用户设定空角色;roles 可指定内置角色和用户定义的角色。
role可选值:
- 数据库用户角色:read、readWrite;
- 数据库管理角色:dbAdmin、dbOwner、userAdmin;
- 集群管理角色:clusterAdmin、clusterManager、clusterMonitor、hostManager;
- 备份恢复角色:backup、restore;
- 所有数据库角色:readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
- 超级用户角色:root
- 内部角色:__system
间接或直接提供了系统超级用户的访问(dbOwner 、userAdmin、userAdminAnyDatabase)
具体角色:
Read:允许用户读取指定数据库
readWrite:允许用户读写指定数据库
dbAdmin:允许用户在指定数据库中执行管理函数,如索引创建、删除,查看统计或访问system.profile
userAdmin:允许用户向system.users集合写入,可以找指定数据库里创建、删除和管理用户
clusterAdmin:只在admin数据库中可用,赋予用户所有分片和复制集相关函数的管理权限。
readAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的读权限
readWriteAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的读写权限
userAdminAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的userAdmin权限
dbAdminAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的dbAdmin权限。
root:只在admin数据库中可用。超级账号,超级权限
2、通过角色来创建、删除用户
以上建立了userAdminAnyDatabase角色,用来管理用户,需要开启auth参数。
#验证,因为在admin下创建的用户,所以需要到admin下验证
> use admin
> db.auth('user1','user1')
#在test库里创建只读账号
> use test
> db.createUser(
{
user:'user2',
pwd:'user2',
roles:[{role:'read',db:'test'}]
}
)
#在test库里创建读写帐号
> db.createUser(
{
user:'user3',
pwd:'user3',
roles:[{role:'readWrite',db:'test'}]
}
)
#在test库里创建读写帐号
> db.createUser(
{
user:'user4',
pwd:'user4',
roles:[{role:'readWrite',db:'test'}]
}
)
#在test库里删除读写帐号user4
>db.dropUser('user4')
#删除当前库的所有用户
>db.dropAllUser()
#查看当前库下的用户
>show users
以上创建了两个账号,现在验证下,验证的前提需要一个集合:
> db.abc.insert({"a":1,"b":2})#插入失败,没有权限,userAdminAnyDatabase 权限只是针对用户管理的,对其他是没有权限的。
WriteResult({
"writeError" : {
"code" : 13,
"errmsg" : "not authorized on test to execute command { insert: \"abc\", documents: [ { _id: ObjectId('55915185d629831d887ce2cb'), a: 1.0, b: 2.0 } ], ordered: true }"
}
})
> use test
> db.auth('user3','user3') #用创建的readWrite帐号进行写入
> db.abc.insert({"a":1,"b":2})
WriteResult({ "nInserted" : 1 })
> db.auth('user2','user2') #切换到只有read权限的帐号
> db.abc.insert({"a":1111,"b":2222}) #不能写入
WriteResult({
"writeError" : {
"code" : 13,
"errmsg" : "not authorized on test to execute command { insert: \"abc\", documents: [ { _id: ObjectId('559151ebb78649ebd8316856'), a: 1111.0, b: 2222.0 } ], ordered: true }"
}
})
root角色:不仅可以授权、也可对集合进行任何操作,但不建议使用
#超级root帐号
> db.createUser(
... {
... user: "root",
... pwd: "root",
... roles: [
... { role: "root", db: "admin" } #超级root帐号
... ]
... }
... )
#查看当前库下的用户
> show users;
3、备份、还原
备份还原使用哪个角色的帐号?
创建帐号user2:test库读权限;user3:tes库读写权限;
mongodump --port=27017 -uuser2 -puser2 --db=test -o backup #只要读权限就可以备份
mongorestore --port=27017 -uuser3 -puser3 --db=test backup/test/ #读写权限可以进行还原