[mongo] [security] 9.2 mongodb访问控制 (Access Control)

在没有访问控制的情况下启动MongoDB。

启动单独mongod，未开启访问控制。

例：

mongod --port 27017 --dbpath /var/lib/mongodb 

连接到实例。

例：

mongo --port 27017 

根据需要指定其他命令行选项以将mongoShell连接 到您的部署，例如--host。

创建用户管理员。

在mongoshell中，在admin数据库中添加一个具有userAdminAnyDatabase角色的用户。包括此用户所需的其他角色。例如，下面使用userAdminAnyDatabase角色和readWriteAnyDatabase角色在管理数据库中创建用户myUserAdmin。

use admin
db.createUser(
  {
    user: "myUserAdmin",
    pwd: passwordPrompt(), // or cleartext password
    roles: [ { role: "userAdminAnyDatabase", db: "admin" }, "readWriteAnyDatabase" ]
  }
) 

使用访问控制重新启动MongoDB实例。

1. 关闭mongod实例。例如，在mongo shell中：

   
   

   db.adminCommand( { shutdown: 1 } ) 

2. 退出mongosehll。

3. 在mongod启用访问控制的情况下启动。

   • 如果mongod从命令行启动，需要添加--auth命令行选项：

     
     

     mongod --auth --port 27017 --dbpath / var / lib / mongodb
     

   • 如果使用 配置文件开启 mongo，请添加 security.authorization配置文件：

     security:
         authorization: enabled 

连接到此实例的客户端现在必须将自己验证为MongoDB用户。客户端只能执行由其分配的角色确定的操作。

以用户管理员身份连接并进行身份验证。

使用mongo sehll：

• 连接时，通过用户凭据进行身份验证，或
• 连接时不进行身份验证，然后发出db.auth()进行身份验证的 方法。

mongo --port 27017  --authenticationDatabase "admin" -u "myUserAdmin" -p 

mongo --port 27017 

use admin
db.auth("myUserAdmin", passwordPrompt())   //或明文密码

根据部署需要创建其他用户。

身份验证为用户管理员后，使用数据库创建用户（）以创建其他用户。您可以将任何内置角色或用户定义的角色分配给用户。

以下操作将用户myTester添加到测试数据库中，该用户在测试数据库中具有readWrite角色，在报告数据库中具有read角色。

use test
db.createUser(
  {
    user: "myTester",
    pwd:  passwordPrompt(),   // or cleartext password
    roles: [ { role: "readWrite", db: "test" },
             { role: "read", db: "reporting" } ]
  }
) 

创建其他用户后，断开mongo shell连接 。

连接到实例并以身份验证myTester。

以断开mongo外壳 myUserAdmin连接后，以重新连接myTester。您可以：

• 通过用户凭据身份验证，或
• 首先连接而不进行身份验证，然后发出db.auth()进行身份验证的 方法。

mongo --port 27017 -u "myTester" --authenticationDatabase "test" -p 

mongo-端口27017

use test
db.auth("myTester", passwordPrompt())   //或明文密码

插入文档

myTester用户有权在test数据库中执行读取和写入操作（以及在数据库中执行读取操作reporting）。身份验证为后 myTester，将文档插入test 数据库的集合中。例如，您可以在test数据库中执行以下插入操作：

db.foo.insert( { x: 1, y: 1 } )