1. 理解Admin数据库
新安装的MongoDB是没有账号设置,不用安全验证,任何人只要连接上服务就可以进行CRUD操作,这是非常不安全的。
所以我们需要对MongoDB进行设置账号,来控制对数据库的访问。
mongodb没有默认管理员账号,先添加管理员账号,再开启权限认证
切换到admin数据库,添加的账号才是管理员账号
管理员可以管理所有数据库,但要先在admin数据库认证后才可以管理其他数据库
MongoDB默认有一个admin数据库,admin.system.users中将会保存比在其它数据库中设置的用户权限更大的用户信息
当admin.system.users中一个用户都没有时,即使mongod启动时添加了- -auth参数,如果没有在admin数据库中添加用户,此时不进行任何认证还是可以做任何操作,直到在admin.system.users中添加了一个用户
2. 角色与权限
Mongodb的授权采用了角色授权的方法,每个角色包括一组权限
Mongodb已经定义好了的角色叫内建角色,我们也可以自定义角色
MongoDB角色有:
- 数据库用户角色:read、readWrite;
- 数据库管理角色:dbAdmin、dbOwner、userAdmin;
- 集群管理角色:clusterAdmin、clusterManager、clusterMonitor、hostManager;
- 备份恢复角色:backup、restore;
- 所有数据库角色:readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
- 超级用户角色:root;
- 内部角色:__system;
MongoDB权限:
- read: 允许用户读取指定数据库
- readWrite: 允许用户读写指定数据库
- dbAdmin:允许用户在指定数据库中执行管理函数,如索引创建、删除,查看统计或访问system.profile
- userAdmin:允许用户向system.users集合写入,可以找指定数据库里创建、删除和管理用户
- clusterAdmin:只在admin数据库中可用,具有所有分片和复制集相关函数的管理权限。
- readAnyDatabase:只在admin数据库中可用,具有所有数据库的读权限
- readWriteAnyDatabase:只在admin数据库中可用,具有所有数据库的读写权限
- userAdminAnyDatabase:只在admin数据库中可用,具有所有数据库的userAdmin权限
- dbAdminAnyDatabase:只在admin数据库中可用,具有所有数据库的dbAdmin权限。
- root:只在admin数据库中可用。超级账号,超级权限
3. 创建角色
创建普通用户:
>use foobar
>db.createUser(
{ user:"foobarUser",
pwd:"foo",
roles:[{role:"readWrite",db:”foobar”}],
}
)
创建用户管理员:
>use admin
>db.createUser(
{ user:"Useradmin",
pwd:"Userpwd",
roles:["userAdminAnyDatabase"],
}
)
创建数据库管理员:
use admin
db.createUser(
{ user:"DbUser",
pwd:"DbPwd“,roles:["readWriteAnyDatabase", "dbAdminAnyDatabase"]
}
);
查询某个数据库下的用户:
db.system.users.find()
删除指定用户:
db.dropUser(“用户名”);
用户管理员和数据库管理员区别:
- 用户管理员具有在admin和其他数据库创建用户账户的功能
- 数据库管理员账户用来管理数据库、集群、复制和MongoDB的其他方面