MongoDB如何設置權限（相似關係型數據庫的用戶名和密碼）

MongoDB 缺省是沒有設置鑑權的，業界大部分使用 MongoDB 的項目也沒有設置訪問權限。這就意味着只要知道 MongoDB 服務器的端口，任何能訪問到這臺服務器的人均可以查詢和操做 MongoDB 數據庫的內容。在一些項目當中，這種使用方式會被當作是一種安全漏洞。

本文介紹如何在單臺 MongoDB 服務器上設置鑑權。設置完後，MongoDB 客戶端必須用正確的用戶名和密碼登陸，才能在指定的數據庫中操做。

首先介紹下 MongoDB 的用戶和權限。每一個數據庫都有本身的用戶，建立用戶的命令是db.createUser()（文檔），當你建立一個用戶時，該用戶就屬於你當前所在的數據庫。

每一個用戶包含三個要素：用戶名、密碼和角色列表。下面是一個例子：

{
user: "dbuser",
pwd : "dbpass",
roles: ["readWrite", "clusterAdmin"]
}

這個例子表示一個名爲dbuser的用戶，它在當前的數據庫中擁有 readWrite 和 clusterAdmin 兩個角色。

--------------------------------------------------------------------------------------------------------------------------

MongoDB 內置了不少角色，但要注意，不是每一個數據庫的內置角色都同樣。其中 admin 數據庫就包含了一些其餘數據庫所沒有的角色。

熟悉 Oracle 的童鞋們都知道，數據庫用戶有兩種，一種是管理員，用來管理用戶，一種是普通用戶，用來訪問數據。相似的，爲 MongoDB 規劃用戶鑑權時，至少要規劃兩種角色：用戶管理員和數據庫用戶。若是搭建了分片或主從，可能還會要規劃數據庫架構管理員的角色，它們專門用來調整數據庫的分佈式架構。

在建立用戶以前，咱們首先要修改 MongoDB 的啓動方式。缺省方式下 MongoDB 是不進行鑑權檢查的。咱們只要在運行 MongoDB 的命令後面加上一個 --auth 參數便可，例如：

mongod --dbpath ./db1 --port 20000 --auth

 

如何建立用戶管理員

用戶管理員是第一個要建立的用戶。在沒有建立任何用戶以前，你能夠隨意建立用戶；但數據庫中一旦有了用戶，那麼未登陸的客戶端就沒有權限作任何操做了，除非使用db.auth(username, password)方法登陸。

用戶管理員的角色名叫 userAdminAnyDatabase，這個角色只能在 admin 數據庫中建立。下面是一個例子：

> use admin
switched to db admin
> db.createUser({user:"root",pwd:"root123",roles:["userAdminAnyDatabase"]})
Successfully added user: { "user" : "root", "roles" : [ "userAdminAnyDatabase" ] }

這個例子建立了一個名爲 root 的用戶管理員。建立完了這個用戶以後，咱們應該立刻以該用戶的身份登陸：

> db.auth("root","root123")
1
db.auth() 方法返回 1 表示登陸成功。接下來咱們爲指定的數據庫建立訪問所需的帳號。

--------------------------------------------------------------------------------------------------------------------------

如何建立數據庫用戶

首先保證你已經以用戶管理員的身份登陸 admin 數據庫。而後用 use 命令切換到目標數據庫，一樣用 db.createUser() 命令來建立用戶，其中角色名爲 「readWrite」。

普通的數據庫用戶角色有兩種，read 和 readWrite。顧名思義，前者只能讀取數據不能修改，後者能夠讀取和修改。
下面是一個例子：

> use test
switched to db test
> db.createUser({user:"testuser",pwd:"testpass",roles:["readWrite"]})
Successfully added user: { "user" : "testuser", "roles" : [ "readWrite" ] }
> db.auth("testuser","testpass")
1

這樣 MongoDB 的數據安全性就獲得保障了，沒有登陸的客戶端將沒法執行任何命令。