Mongodb 用户权限管理及配置

yxxs123

一、Mongodb命令

理解 admin 数据库
　　安装 MongoDB 时，会自动创建 admin 数据库，这是一个特殊数据库，提供了普通数据库没有的功能。
　　有些用户角色赋予用户操作多个数据库的权限，而这些角色只能在 admin 数据库中创建，要创建有权操作所有数据库的超级用户，必须将该用户加入到 admin 数据库中。检查凭证时，MongoDB 将在指定数据库和 admin 数据库中检查用户账户。

内建的角色

　　数据库用户角色：read、readWrite;
　　数据库管理角色：dbAdmin、dbOwner、userAdmin；
　　集群管理角色：clusterAdmin、clusterManager、clusterMonitor、hostManager；
　　备份恢复角色：backup、restore；
　　所有数据库角色：readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
　　超级用户角色：root     #这里还有几个角色间接或直接提供了系统超级用户的访问（dbOwner 、userAdmin、userAdminAnyDatabase）

内部角色：__system
　　角色说明：

　　read：允许用户读取指定数据库；
　　readAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读权限；
　　readWrite：允许用户读写指定数据库；
　　readWriteAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读写权限；
　　dbAdmin：允许用户在指定数据库中执行管理函数，如索引创建、删除，查看统计或访问system.profile；
　　dbAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的dbAdmin权限；
　　clusterAdmin：只在admin数据库中可用，赋予用户所有分片和复制集相关函数的管理权限；
　　userAdmin：允许用户向system.users集合写入，可以找指定数据库里创建、删除和管理用户；
　　userAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的userAdmin权限；
　　root：只在admin数据库中可用。超级账号，超级权限；

主要命令
　　

show dbs  #显示数据库列表　　
show collections  #显示当前数据库中的集合（类似关系数据库中的表）
　　
show users  #显示用户
　　
use   #切换当前数据库，如果数据库不存在则创建数据库。
　　
db.help()  #显示数据库操作命令，里面有很多的命令
　　
db.foo.help()  #显示集合操作命令，同样有很多的命令，foo指的是当前数据库下，一个叫foo的集合，并非真正意义上的命令
　　
db.foo.find()  #对于当前数据库中的foo集合进行数据查找（由于没有条件，会列出所有数据）
　　
db.foo.find( { a : 1 } )  #对于当前数据库中的foo集合进行查找，条件是数据中有一个属性叫a，且a的值为1
　　

　　MongoDB没有创建数据库的命令，但有类似的命令。 如：如果你想创建一个“myTest”的数据库，先运行use myTest命令，之后就做一些操作（如：db.createCollection(‘user’)）,这样就可以创建一个名叫“myTest”的数据库。

其他命令
　　

db.dropDatabase()  #删除当前使用数据库　　
db.cloneDatabase("127.0.0.1")   #将指定机器上的数据库的数据克隆到当前数据库
　　
db.copyDatabase("mydb", "temp", "127.0.0.1")  #将本机的mydb的数据复制到temp数据库中
　　
db.repairDatabase()  #修复当前数据库
　　
db.getName()  #查看当前使用的数据库，也可以直接用db
　　
db.stats()  #显示当前db状态
　　
db.version()  #当前db版本
　　
db.getMongo()  ＃查看当前db的链接机器地址
　　
db.serverStatus()  #查看数据库服务器的状态
　　

二、配置访问控制

1、介绍
　　MongoDB安装完成后，数据库 admin 中没有任何用户账户。在数据库 admin 中没有任何账户时，MongoDB 向从本地主机发起的连接提供全面的数据库管理权限。因此配置 MongoDB 新实例时，首先需要创建用户管理员账户和数据库管理员账户。用户管理员账户可在 admin 和其他数据库中创建用户账户。您还需要创建一个数据库管理员账户，将其作为管理数据库、集群、复制和 MongoDB 其他方面的超级用户。

　　用户管理员账户和数据库管理员账户都是在数据库 admn 中创建的。在 MongoDB 服务器中启用身份验证后，要以用户管理员或数据库管理员的身份连接到服务器，必须向 admin 数据库验证身份，您还需在每个数据库中创建用户账户，让这些用户能够访问该数据库。

2、创建用户管理员账户

• 　　配置访问控制的第一步是创建用户管理员账户。用户管理员应只有创建用户账户的权限，而不能管理数据库或执行其他管理任务。这确保数据库管理和用户账户管理之间有清晰的界限。
  
  
• 在 admin 数据库中，添加一个用户并赋予userAdminAnyDatabase角色，userAdminAnyDatabase只在admin数据库中可用，赋予用户所有数据库的userAdmin权限。
  

　　例如，下面是在 admin 数据库中创建一个名为myUserAdmin用户。
　　

[root@mbasic ~]# mongo　　
MongoDB shell version: 3.2.6
　　
connecting to: test
　　
> use admin
　　
switched to db admin
　　
> db.createUser(
　　
...   {
　　
...     user: "myUserAdmin",
　　
...     pwd: "abc123",
　　
...     roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
　　
...   }
　　
... )
　　
Successfully added user: {
　　"user" : "myUserAdmin",
　　"roles" : [
　　{
　　"role" : "userAdminAnyDatabase",
　　"db" : "admin"
　　}
　　]
　　
}
　　
>
　　

　　用户管理员应只有创建用户账户的权限，而不能管理数据库或执行其他管理任务。
　　要创建某个库的管理用户，必须在 admin 进行认证，给哪个库创建用户就先切换到哪个库下面。

4、开启权限验证

• 　　编辑配置文件/etc/mongod.conf，修改内容如下：
  　　
  
  security:　　
  authorization: enabled
  　　
  
  
  
• 　　重启mongodb服务
  　　
  
  systemctl restart mongod　　
  
  
  
• 现在，客户端连接到服务器时必须提供用户名和密码。另外，从 MongoDB shell 访问 MongoDB 服务器时，如果要添加用户账户，必须执行下面的命令向数据库 admin 验证身份：　　
  
  > use admin　　
  switched to db admin
  　　
  > db.auth("myUserAdmin","abc123")
  　　
  1
  　　
  >
  　　
  
  　　也可以在启动 MongoDB shell 时使用选项-u和-p向数据库 admin 验证身份：
  　　
  
  mongo -u "myUserAdmin" -p "abc123" --authenticationDatabase admin
  

5、创建数据库管理员账户
　　要创建数据库管理员，可在 MongoDB shell 中切换到数据库 admin，再使用方法createUser添加角色为readWriteAnyDatabase、dbAdminAnyDatabase和clusterAdmin的用户。这让这名用户能够访问系统中的所有数据库、创建新的数据库以及管理 MongoDB 集群和副本集。

• 创建一个名为 dbadmin 的数据库管理员：　　
  
  > use admin　　
  switched to db admin
  　　
  > db.createUser(
  　　
  ...    {
  　　
  ...      user: "dbadmin",
  　　
  ...      pwd: "abc123",
  　　
  ...      roles: [ "readWriteAnyDatabase", "dbAdminAnyDatabase","clusterAdmin" ]
  　　
  ...    }
  　　
  ... )
  　　
  Successfully added user: {
  　　"user" : "dbadmin",
  　　"roles" : [
  　　"readWriteAnyDatabase",
  　　"dbAdminAnyDatabase",
  　　"clusterAdmin"
  　　]
  　　
  }
  
  

　　数据库管理员能够访问系统中的所有数据库、创建新的数据库以及管理 MongoDB 集群和副本集。
　　如果要求管理其他数据库，首先要去 admin 库里面去认证。

四、创建普通用户

　　一旦经过认证的用户管理员，可以使用db.createUser()去创建额外的用户。
　　你可以分配mongodb内置的角色或用户自定义的角色给用户。
　　这个 myUserAdmin 用户仅仅只有特权去管理用户和角色，如果你试图执行其他任何操作，例如在 test 数据库中的foo集合中去读数据，mongodb将返回错误。
　　你创建用户的数据库（这里就是test数据库）是该用户认证数据库。尽管用户认证是这个数据库，用户依然可以有其他数据库的角色。即用户认证数据库不限制用户权限。

• 创建一个角色为readWrite的用户 test1 来管理数据库test。
  

　　

[root@mbasic ~]# mongo　　
MongoDB shell version: 3.2.6
　　
connecting to: test
　　
> use admin
　　
switched to db admin
　　
> db.auth('myUserAdmin','abc123')
　　
1
　　
> use test
　　
switched to db test
　　
> db.createUser(
　　
...    {
　　
...      user:"test1",
　　
...      pwd: "test1",
　　
...      roles: [{ role: "readWrite", db: "test"}]
　　
...    }
　　
...  )
　　
Successfully added user: {
　　"user" : "test1",
　　"roles" : [
　　{
　　"role" : "readWrite",
　　"db" : "test"
　　}
　　]
　　
}
　　
>
　　

验证
　　

[root@mbasic ~]# mongo　　
MongoDB shell version: 3.2.6
　　
connecting to: test
　　
> use test
　　
switched to db test
　　
> db.auth('test1','test1')
　　
1
　　
>
　　

• 创建一个dmp用户，对dmp数据库只读权限。　　
  
  > use admin　　
  switched to db admin
  　　
  > db.auth('myUserAdmin','abc123')
  　　
  1
  　　
  > use dmp
  　　
  switched to db dmp
  　　
  >db.createUser(
  　　
  {
  　　user:"dmp1",
  　　pwd: "dmp1pass",
  　　roles: [{ role: "read", db: "dmp"}]
  　　
  }
  　　
  )
  
  

五、Mongodb 使用

1、导入 csv 数据
　　我们创建了一个数据库 dmp，并且创建一个有读写权限的用户 dmp，密码dmp，我们导入一个从其他数据库导出来的 csv 格式的数据。
　　

[root@mbasic ~]# mongoimport -udmp -p dmp --db dmp --collection dmp_merge_basic --type csv --headerline --ignoreBlanks --file dmp.csv　　
2018-09-20T15:23:38.024+0800    connected to: localhost
　　
2018-09-20T15:23:39.441+0800    imported 15347 documents
　　

2、GUI图形管理工具

• 　　把git仓库克隆到本地
  　　
  
  git clone https://github.com/mrvautin/adminMongo　　
  
  
  
• 进入仓库　　
  
  cd adminMongo
  
• 安装　　
  
  npm install
  
• 启动　　
  
  npm start
  
• 　　访问地址
  　　
  
  http://YOUR_SERVER_IP:1234　　
  
  
  
• 连接　　
  
  mongodb://dmp:dmp@10.0.1.26:27017/dmp
  

• 查看数据