MongoDB訪問控制介紹及操作詳解

2024-09-07 00:22:27

字體：大中小

供稿：網(wǎng)友

　　mongodb是一個基于分布式文件存儲的數(shù)據(jù)庫，如果使用過mongodb，應該了解新安裝的mongodb是沒有賬號設置的，也就意味著任何人都能夠連接mongodb，這是很不安全的，因此為能夠有效保證數(shù)據(jù)的安全，我們需要對mongodb進行設置賬號，來控制對數(shù)據(jù)庫的訪問。這篇文章我們就一起來了解一下MongoDB訪問控制的操作方法。

　　什么是訪問控制？

　　簡單講訪問控制就是指，哪些用戶可以訪問哪些資源，對資源有哪些操作（權限）；在mongodb中我們把數(shù)據(jù)庫、或者集合叫做資源；也就說訪問控制是用來限制某些用戶對數(shù)據(jù)庫或集合的操作；我們在mysql數(shù)據(jù)庫中，我們通過給賬號授權的方式達到控制哪些用戶可以從哪些主機訪問數(shù)據(jù)庫，對數(shù)據(jù)庫有哪些操作；其中賬號由用戶名稱和主機地址構成；在mongodb中采用的不是用戶+主機地址的方式，而是通過給用戶賦予一個或多個角色，這個角色或多個角色的所有權限就是這個用戶擁有的權限；默認情況mongodb是沒有啟用訪問控制的，所以只要能夠連接上mongodb實例，我們就可以在其上做任何操作，在某種程度上，這是一種極為不安全的方式，為了杜絕這種不安全的訪問方式，我們需要對mongodb進行訪問控制；

　　mongodb中的角色權限說明

　　mongodb默認內(nèi)置了一些角色，不同的角色擁有不同的權限，
　　查看mongodb中某個數(shù)據(jù)庫所有內(nèi)置角色

> db.runCommand({rolesInfo:1,showBuiltinRoles:true})
{
  "roles" : [
    {
      "role" : "dbAdmin",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    },
    {
      "role" : "dbOwner",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    },
    {
      "role" : "enableSharding",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    },
    {
      "role" : "read",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    },
    {
      "role" : "readWrite",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    },
    {
      "role" : "userAdmin",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    }
  ],
  "ok" : 1
}
>
　　提示：以上是mongodb中test庫的默認角色；如果要查看其它庫，我們需要切換到其他庫，然后運行上述命令查看即可；

　　查詢當前數(shù)據(jù)中的某個角色

> db
test
> db.runCommand({rolesInfo:"userAdmin"})
{
  "roles" : [
    {
      "role" : "userAdmin",
      "db" : "test",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    }
  ],
  "ok" : 1
}
>
　　查詢其他數(shù)據(jù)庫中指定的角色權限

> db.runCommand({rolesInfo:{role:"userAdmin",db:"config"}})
{
  "roles" : [
    {
      "role" : "userAdmin",
      "db" : "config",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    }
  ],
  "ok" : 1
}
> db.runCommand({rolesInfo:{role:"root",db:"config"}})
{ "roles" : [ ], "ok" : 1 }
> db.runCommand({rolesInfo:{role:"root",db:"admin"}})
{
  "roles" : [
    {
      "role" : "root",
      "db" : "admin",
      "isBuiltin" : true,
      "roles" : [ ],
      "inheritedRoles" : [ ]
    }
  ],
  "ok" : 1
}
>
　　創(chuàng)建一個用戶名為tom，其角色為超級管理員角色root

> use admin
switched to db admin
> db.createUser({user:"tom",pwd:"admin123.com",roles:[{"role":"root","db":"admin"}]})
Successfully added user: {
  "user" : "tom",
  "roles" : [
    {
      "role" : "root",
      "db" : "admin"
    }
  ]
}
>
　　查看當前庫用戶列表

> db
admin
> db.getUsers()
[
  {
    "_id" : "admin.tom",
    "userId" : UUID("67bf434a-49fc-4ed5-9e9b-23c443a2fc93"),
    "user" : "tom",
    "db" : "admin",
    "roles" : [
      {
        "role" : "root",
        "db" : "admin"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  }
]
>
　　創(chuàng)建數(shù)據(jù)庫管理員用戶

> db.createUser({user:"jerry",pwd:"admin123.com",roles:["userAdminAnyDatabase"]})
Successfully added user: { "user" : "jerry", "roles" : [ "userAdminAnyDatabase" ] }
> db.getUsers()
[
  {
    "_id" : "admin.jerry",
    "userId" : UUID("5d0b77f2-b7f1-40cd-8149-f08b2e1e6a80"),
    "user" : "jerry",
    "db" : "admin",
    "roles" : [
      {
        "role" : "userAdminAnyDatabase",
        "db" : "admin"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  },
  {
    "_id" : "admin.tom",
    "userId" : UUID("67bf434a-49fc-4ed5-9e9b-23c443a2fc93"),
    "user" : "tom",
    "db" : "admin",
    "roles" : [
      {
        "role" : "root",
        "db" : "admin"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  }
]
>
　　提示：如果創(chuàng)建用戶時，未指定db，則表示當前該用戶對當前所在db生效；

　　刪除用戶

> db.dropUser("jerry")
true
> db.getUsers()
[
  {
    "_id" : "admin.tom",
    "userId" : UUID("67bf434a-49fc-4ed5-9e9b-23c443a2fc93"),
    "user" : "tom",
    "db" : "admin",
    "roles" : [
      {
        "role" : "root",
        "db" : "admin"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  }
]
>
　　提示：刪除用戶，需切換到對應數(shù)據(jù)下，指定對應用戶名稱即可；在mongodb中用戶是對應數(shù)據(jù)庫的，一個用戶可以對應一個或多個數(shù)據(jù)庫，在指定數(shù)據(jù)庫刪除用戶，就表示刪除指定用戶對指定數(shù)據(jù)庫的訪問權限；

　　修改指定用戶的密碼

> db
admin
> db.changeUserPassword("tom","123456")
>
　　提示：修改用戶密碼，第一個是指定用戶的名稱，第二個是指定新密碼；

　　驗證用戶名和密碼

　　給錯誤的密碼

> db
admin
> db.auth("tom","admin")
Error: Authentication failed.
0
>
　給正確的密碼

> db
admin
> db.auth("tom","123456")
1
>
　　創(chuàng)建一個普通用戶

> use testdb
switched to db testdb
> db.createUser({user:"test",pwd:"admin",roles:[{role:"readWrite",db:"testdb"}]})
Successfully added user: {
  "user" : "test",
  "roles" : [
    {
      "role" : "readWrite",
      "db" : "testdb"
    }
  ]
}
> db.getUsers()
[
  {
    "_id" : "testdb.test",
    "userId" : UUID("95ecb34c-46f4-44fa-8948-4f0875499d8e"),
    "user" : "test",
    "db" : "testdb",
    "roles" : [
      {
        "role" : "readWrite",
        "db" : "testdb"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  }
]
>
　提示：以上就創(chuàng)建了一個名為test的用戶，它可對testdb這個庫下的所有collection做讀寫操作；

　　創(chuàng)建一個多角色的用戶

> db
testdb
> db.createUser(
... {
... user:"jerry1",
... pwd:"admin123.com",
... roles:[
... {role:"clusterAdmin",db:"admin"},
... {role:"readWrite",db:"testdb"},
... {role:"read",db:"testdb1"}
... ]
... })
Successfully added user: {
  "user" : "jerry1",
  "roles" : [
    {
      "role" : "clusterAdmin",
      "db" : "admin"
    },
    {
      "role" : "readWrite",
      "db" : "testdb"
    },
    {
      "role" : "read",
      "db" : "testdb1"
    }
  ]
}
> db.getUsers()
[
  {
    "_id" : "testdb.jerry1",
    "userId" : UUID("43d66bf8-1e3a-4c14-ad73-5961b5a7660f"),
    "user" : "jerry1",
    "db" : "testdb",
    "roles" : [
      {
        "role" : "clusterAdmin",
        "db" : "admin"
      },
      {
        "role" : "readWrite",
        "db" : "testdb"
      },
      {
        "role" : "read",
        "db" : "testdb1"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  },
  {
    "_id" : "testdb.test",
    "userId" : UUID("95ecb34c-46f4-44fa-8948-4f0875499d8e"),
    "user" : "test",
    "db" : "testdb",
    "roles" : [
      {
        "role" : "readWrite",
        "db" : "testdb"
      }
    ],
    "mechanisms" : [
      "SCRAM-SHA-1",
      "SCRAM-SHA-256"
    ]
  }
]
>
　　提示：在mongodb中一個用戶可以授權擁有多個角色權限；

　　開啟mongodb服務端訪問控制配置

　　重啟服務

[root@node12 ~]# systemctl restart mongod.service
[root@node12 ~]# ss -tnl
State Recv-Q Send-Q   Local Address:Port      Peer Address:Port
LISTEN 0 128      *:22          *:*
LISTEN 0 100    127.0.0.1:25          *:*
LISTEN 0 128      *:27017         *:*
LISTEN 0 128      :::22         :::*
LISTEN 0 100      ::1:25         :::*
[root@node12 ~]#
　　測試：現(xiàn)在連接mongodb，看看會發(fā)生什么？

[root@node12 ~]# mongo
MongoDB shell version v4.4.1
connecting to: mongodb://127.0.0.1:27017/?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("68fa2f83-64a4-42c2-8d64-9ee73a77e883") }
MongoDB server version: 4.4.1
> show dbs
> db
test
> show tables
Warning: unable to run listCollections, attempting to approximate collection names by parsing connectionStatus
>
　　提示：現(xiàn)在我們直接連接mongodb是可以正常連接，但是我們沒法查看數(shù)據(jù)列表以及collections了；這個時候我們就需要進行用戶認證了；

　　認證用戶

> db
test
> db.auth("test","admin")
Error: Authentication failed.
0
> use testdb
switched to db testdb
> db.auth("test","admin")
1
> show dbs
> show collections
>
　　提示：認證用戶必須切換到對應的數(shù)據(jù)庫下做認證；我這里test用戶只能對testdb庫下的所有collection進行讀寫，所以認證以后，我們在使用 show dbs命令就看不到系統(tǒng)admin和config庫了；除了上述連接數(shù)據(jù)庫以后使用db.auth()做用戶認證，我們也可直接在連接數(shù)據(jù)庫時指定用戶名和密碼，如下

[root@node12 ~]# mongo -utest -padmin testdb
MongoDB shell version v4.4.1
connecting to: mongodb://127.0.0.1:27017/testdb?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("60c43e94-04c6-46f4-be07-07ca8fa06b2f") }
MongoDB server version: 4.4.1
> show dbs
> exit
bye
[root@node12 ~]# mongo -utest -padmin 192.168.0.52:27017/testdb
MongoDB shell version v4.4.1
connecting to: mongodb://192.168.0.52:27017/testdb?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("a30dbd64-7b59-4a8e-b95d-02ff30e256f3") }
MongoDB server version: 4.4.1
> show dbs
> show tables
>
　　以上就是在mongodb中開啟訪問控制，創(chuàng)建用戶，授權的操作；我們只需要在配置文件中指定開啟認證功能，然后使用具有創(chuàng)建用戶權限的用戶登錄數(shù)據(jù)庫創(chuàng)建用戶授權即可.

（編輯：武林網(wǎng)）

上一篇：MongoDB聚合有什么用處？如何使用？

下一篇：MongoDB副本集如何搭建？一文快速了解搭建過程