原文: Mongodb 开启用户名密码访问控制

一、Mongodb命令

1、理解 admin 数据库

安装 MongoDB 时,会自动创建 admin 数据库,这是一个特殊数据库,提供了普通数据库没有的功能。

有些用户角色赋予用户操作多个数据库的权限,而这些角色只能在 admin 数据库中创建,要创建有权操作所有数据库的超级用户,必须将该用户加入到 admin 数据库中。检查凭证时,MongoDB 将在指定数据库和 admin 数据库中检查用户账户。

2、内建的角色

  • 数据库用户角色:read、readWrite;

  • 数据库管理角色:dbAdmin、dbOwner、userAdmin;

  • 集群管理角色:clusterAdmin、clusterManager、clusterMonitor、hostManager;

  • 备份恢复角色:backup、restore;

  • 所有数据库角色:readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase

  • 超级用户角色:root

这里还有几个角色间接或直接提供了系统超级用户的访问(dbOwner 、userAdmin、userAdminAnyDatabase

3、内部角色:__system

  • read:允许用户读取指定数据库;

  • readAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的读权限;

  • readWrite:允许用户读写指定数据库;

  • readWriteAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的读写权限;
  • dbAdmin:允许用户在指定数据库中执行管理函数,如索引创建、删除,查看统计或访问system.profile;

  • dbAdminAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的dbAdmin权限;

  • clusterAdmin:只在admin数据库中可用,赋予用户所有分片和复制集相关函数的管理权限;

  • userAdmin:允许用户向system.users集合写入,可以找指定数据库里创建、删除和管理用户;

  • userAdminAnyDatabase:只在admin数据库中可用,赋予用户所有数据库的userAdmin权限;
  • root:只在admin数据库中可用。超级账号,超级权限;

4、主要命令


show dbs  #显示数据库列表 
show collections  #显示当前数据库中的集合(类似关系数据库中的表)
show users  #显示用户
use <db name>  #切换当前数据库,如果数据库不存在则创建数据库。 
db.help()  #显示数据库操作命令,里面有很多的命令 
db.foo.help()  #显示集合操作命令,同样有很多的命令,foo指的是当前数据库下,一个叫foo的集合,并非真正意义上的命令 
db.foo.find()  #对于当前数据库中的foo集合进行数据查找(由于没有条件,会列出所有数据) 
db.foo.find( { a : 1 } )  #对于当前数据库中的foo集合进行查找,条件是数据中有一个属性叫a,且a的值为1

MongoDB没有创建数据库的命令,但有类似的命令。 如:如果你想创建一个“myTest”的数据库,先运行use myTest命令,之后就做一些操作(如:db.createCollection(‘user’)),这样就可以创建一个名叫“myTest”的数据库。

5、其他命令


db.dropDatabase()  #删除当前使用数据库
db.cloneDatabase("127.0.0.1")   #将指定机器上的数据库的数据克隆到当前数据库
db.copyDatabase("mydb", "temp", "127.0.0.1")  #将本机的mydb的数据复制到temp数据库中
db.repairDatabase()  #修复当前数据库
db.getName()  #查看当前使用的数据库,也可以直接用db
db.stats()  #显示当前db状态
db.version()  #当前db版本
db.getMongo()  #查看当前db的链接机器地址
db.serverStatus()  #查看数据库服务器的状态

二、配置访问控制

1、介绍

MongoDB安装完成后,数据库 admin 中没有任何用户账户。在数据库 admin 中没有任何账户时,MongoDB 向从本地主机发起的连接提供全面的数据库管理权限。因此配置 MongoDB 新实例时,首先需要创建用户管理员账户数据库管理员账户。用户管理员账户可在 admin 和其他数据库中创建用户账户。您还需要创建一个数据库管理员账户,将其作为管理数据库、集群、复制和 MongoDB 其他方面的超级用户

用户管理员账户和数据库管理员账户都是在数据库 admn 中创建的。在 MongoDB 服务器中启用身份验证后,要以用户管理员或数据库管理员的身份连接到服务器,必须向 admin 数据库验证身份,您还需在每个数据库中创建用户账户,让这些用户能够访问该数据库。

2、创建用户管理员账户

  • 配置访问控制的第一步是创建用户管理员账户。用户管理员应只有创建用户账户的权限,而不能管理数据库或执行其他管理任务。这确保数据库管理和用户账户管理之间有清晰的界限。

  • 在 admin 数据库中,添加一个用户并赋予userAdminAnyDatabase角色,userAdminAnyDatabase只在admin数据库中可用,赋予用户所有数据库的userAdmin权限。

例如,下面是在 admin 数据库中创建一个名为myUserAdmin用户。


[root@mbasic ~]# mongo
MongoDB shell version: 3.2.6
connecting to: test
> use admin
switched to db admin
> db.createUser(
...   {
...     user: "myUserAdmin",
...     pwd: "abc123",
...     roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
...   }
... )
Successfully added user: {
        "user" : "myUserAdmin",
        "roles" : [
                {
                        "role" : "userAdminAnyDatabase",
                        "db" : "admin"
                }
        ]
}
> 

用户管理员应只有创建用户账户的权限,而不能管理数据库或执行其他管理任务。
要创建某个库的管理用户,必须在 admin 进行认证,给哪个库创建用户就先切换到哪个库下面。

4、开启权限验证

  • 编辑配置文件/etc/mongod.conf,修改内容如下:

security:
authorization: enabled
  • 重启mongodb服务

systemctl restart mongod
  • 现在,客户端连接到服务器时必须提供用户名和密码。另外,从 MongoDB shell 访问 MongoDB 服务器时,如果要添加用户账户,必须执行下面的命令向数据库 admin 验证身份:

> use admin
switched to db admin
> db.auth("myUserAdmin","abc123")
1
>

也可以在启动 MongoDB shell 时使用选项-u和-p向数据库 admin 验证身份:


mongo -u "myUserAdmin" -p "abc123" --authenticationDatabase admin

5、创建数据库管理员账户

要创建数据库管理员,可在 MongoDB shell 中切换到数据库 admin,再使用方法createUser添加角色为readWriteAnyDatabasedbAdminAnyDatabaseclusterAdmin的用户。这让这名用户能够访问系统中的所有数据库、创建新的数据库以及管理 MongoDB 集群和副本集。

创建一个名为 dbadmin 的数据库管理员:


> use admin
switched to db admin
> db.createUser(
...    {
...      user: "dbadmin",
...      pwd: "abc123",
...      roles: [ "readWriteAnyDatabase", "dbAdminAnyDatabase","clusterAdmin" ]
...    }
... )
Successfully added user: {
    "user" : "dbadmin",
    "roles" : [
            "readWriteAnyDatabase",
            "dbAdminAnyDatabase",
            "clusterAdmin"
    ]
}

数据库管理员能够访问系统中的所有数据库、创建新的数据库以及管理 MongoDB 集群和副本集。
如果要求管理其他数据库,首先要去 admin 库里面去认证。

三、创建普通用户

一旦经过认证的用户管理员,可以使用db.createUser()去创建额外的用户。
你可以分配mongodb内置的角色或用户自定义的角色给用户。

这个 myUserAdmin 用户仅仅只有特权去管理用户和角色,如果你试图执行其他任何操作,例如在 test 数据库中的foo集合中去读数据,mongodb将返回错误。

你创建用户的数据库(这里就是test数据库)是该用户认证数据库。尽管用户认证是这个数据库,用户依然可以有其他数据库的角色。即用户认证数据库不限制用户权限。

创建一个角色为readWrite的用户 test1 来管理数据库test


[root@mbasic ~]# mongo
MongoDB shell version: 3.2.6
connecting to: test
> use admin
switched to db admin
> db.auth('myUserAdmin','abc123')
1
> use test
switched to db test
> db.createUser(
...    {
...      user:"test1",
...      pwd: "test1",
...      roles: [{ role: "readWrite", db: "test"}]
...    }
...  )
Successfully added user: {
        "user" : "test1",
        "roles" : [
                {
                        "role" : "readWrite",
                        "db" : "test"
                }
        ]
}

验证


[root@mbasic ~]# mongo
MongoDB shell version: 3.2.6
connecting to: test
> use test
switched to db test
> db.auth('test1','test1')
1
>

创建一个dmp用户,对dmp数据库只读权限。


> use admin
switched to db admin
> db.auth('myUserAdmin','abc123')
1
> use dmp
switched to db dmp
>db.createUser(
{
   user:"dmp1",
   pwd: "dmp1pass",
   roles: [{ role: "read", db: "dmp"}]
}
)

##四、Mongodb 使用

3、db.createUser() 用法

db.createUser({
 user: "$USERNAME",
 pwd: "$PASSWROD",
 roles: [
 { role: "$ROLE_NAME", db: "$DBNAME"}
 ]
})

参数说明:

  • user 是用户名
  • pwd 是密码
  • role 来指定用户的角色
  • db 来指定所属的数据库
  • roles 是用户所有角色的集合

2、导入 csv 数据

我们创建了一个数据库 dmp,并且创建一个有读写权限的用户 dmp,密码dmp,我们导入一个从其他数据库导出来的 csv 格式的数据


[root@mbasic ~]# mongoimport -udmp -p dmp --db dmp --collection dmp_merge_basic --type csv --headerline --ignoreBlanks --file dmp.csv
2018-09-20T15:23:38.024+0800    connected to: localhost
2018-09-20T15:23:39.441+0800    imported 15347 documents

3、启用访问控制

默认启动 MongoDB 服务时没有任何参数,可以对数据库任意操 作,而且可以远程访问数据库,所以推荐开发阶段可以不设置任何参数,但对于生产环境还是要仔细考虑一下安全方面的因素,下面就介绍了Mongodb开启用户访问控制的相关资料。

1、 启动 mongodb 实例,关闭 访问控制

不带 --auth

2、 连接上 mongodb 实例

3、创建用户管理员

在 admin 数据库中添加一个 具有 userAdminAnyDatabase 角色的用户作为用户管理用户。下面的例子中创建了 admin 为用户管理员。

退出连接

4、重启数据库启用访问控制

命令行启动,只需要添加 --auth 参数

5、使用管理用户连接,有两种方法

1) 使用命令行 ./mongo -u "$USERNAME" -p "$PASSWROD" --authenticationDatabase "admin"

2) 使用 db.auth()

我们使用第二种, 1 表示认证成功

6、 为某个数据库创建独立用户

以下为 test 数据库 创建具有读写权限的用户 test

admin 用户由于只有 userAdminAnyDatabase 权限,所以没有 test 数据的读写权限,所以,为了读写 test 数据库,我们需要创建一个用户。先看一下直接用 admin 会报什么错误

我们直接使用 show collections , 则报错:not authorized on test to execute command ,意思是没有权限。

然后我们使用 db.auth(“test”, “test”) , 再执行命令 则没有报错

试着写入一条数据,也是正常的。