用户及权限管理

用户及权限管理

注意

验证库: 建立用户时use到的库，在使用用户时，要加上验证库才能登陆。

远程登录，必须要写认证库名，否则不能连接
ip port user password auth_dbname

简单理解：建用户时，要先选择一个认证库，记住！然后链接的时候，加上这个认证库。否则连不上


对于管理员用户,必须在admin下创建.
1. 建用户时,use到的库,就是此用户的验证库
2. 登录时,必须明确指定验证库才能登录
3. 通常,管理员用的验证库是admin,普通用户的验证库一般是所管理的库设置为验证库

比如： user:simon 管理---> db:simon_db
那么建立simon用户时，就把simon_db设置为simon的认证库。生产环境，不要使用默认test库作为认证库。

4. 如果直接登录到数据库,不进行use,默认的验证库是test,不是我们生产建议的.
5. 从3.6 版本开始，不添加bindIp参数，默认不让远程登录，只能本地管理员登录。

总结：认证库，bind IP

用户创建语法

use admin 
db.createUser  # 建用户同时授权
{
    user: "<name>",
    pwd: "<cleartext password>",
    roles: [
       { role: "<role>",
     db: "<database>" } | "<role>", #MongoDB权限级别是库
    ...
    ]
}

基本语法说明：
user:用户名
pwd:密码
roles:
    role:角色名
    db:作用对象 
role：root, readWrite,read   
验证数据库：
mongo -u oldboy -p 123 10.0.0.53/oldboy

用户管理例子

创建超级管理员：管理所有数据库（必须use admin再去创建）
$ mongo
use admin	--》 选择认证库

use admin
db.createUser(
{
    user: "root",
    pwd: "root123",
    roles: [ { role: "root", db: "admin" } ]
}
)

> use admin
switched to db admin
> 
> db.createUser(
... {
... user:"root",
... pwd:"w",
... roles: [ { role:"root", db: "admin" } ]
... })
Successfully added user: {
	"user" : "root",
	"roles" : [
		{
			"role" : "root",
			"db" : "admin"
		}
	]
}
>

验证用户

db.auth('root','w')   # 其实就是即时生效

> db.auth("root","w")
1
> 

配置文件中，加入以下配置

security:
  authorization: enabled

重启mongodb

mongod -f /mongodb/conf/mongo.conf --shutdown 
mongod -f /mongodb/conf/mongo.conf 

登录验证

mongo -uroot -proot123  admin
mongo -uroot -proot123  10.0.0.53/admin

# 本地登录，不用加认证库
[mongod@mysql-node01 ~]$ mongo -uroot -p
MongoDB shell version v3.6.20
Enter password: 
connecting to: mongodb://127.0.0.1:27017/?gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("29a7788e-6831-4ce2-a0d7-ca34b09444f9") }
MongoDB server version: 3.6.20
> 
> 

# 远程登录 不加认证库，无法登录
[mongod@mysql-node01 ~]$ mongo -uroot -pw 10.0.50.61
MongoDB shell version v3.6.20
connecting to: mongodb://10.0.50.61:27017/test?gssapiServiceName=mongodb
2020-10-24T11:17:13.019+0800 E QUERY    [thread1] Error: Authentication failed. :
connect@src/mongo/shell/mongo.js:275:13
@(connect):1:6
exception: connect failed
[mongod@mysql-node01 ~]$

# 必须加认证库，才能链接，登录后就在admin库下
[mongod@mysql-node01 ~]$ mongo -uroot -pw 10.0.50.61/admin
MongoDB shell version v3.6.20
connecting to: mongodb://10.0.50.61:27017/admin?gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("b24508d4-eb5b-4b58-889b-00297a69688b") }
MongoDB server version: 3.6.20
> 
> db
admin
> 



或者
mongo
use admin
db.auth('root','root123')

查看用户

use admin
db.system.users.find().pretty()

> 
> use admin
switched to db admin
> 
> show tables;
system.users
system.version
> 
> db.system.users.find().pretty()
{
	"_id" : "admin.root",
	"userId" : UUID("e8d60f33-d830-40a9-a0bd-d00faa0d6ca3"),
	"user" : "root",
	"db" : "admin",
	"credentials" : {
		"SCRAM-SHA-1" : {
			"iterationCount" : 10000,
			"salt" : "8U5njsQGK/2Iqj63b8A8eQ==",
			"storedKey" : "N8tFdsh8pSannkCs0DyFR5nYHc8=",
			"serverKey" : "ZK4OdobETkcCeZtPO8dqNP6rjXQ="
		}
	},
	"roles" : [
		{
			"role" : "root",
			"db" : "admin"
		}
	]
}
> 
>

创建应用用户

use simon_db
db.createUser(
    {
        user: "simon",
        pwd: "simon",
        roles: [ { role: "readWrite" , db: "simon_db" } ]
    }
)


> use simon_db
switched to db simon_db
> 
> 
> db.createUser(
... {
... user:"simon",
... pwd:"simon",
... roles: [ { role:"readWrite",db:"simon_db"}]
... })
Successfully added user: {
	"user" : "simon",
	"roles" : [
		{
			"role" : "readWrite",
			"db" : "simon_db"
		}
	]
}
>

mongo  -uapp01 -papp01 app

# 本地登录
[mongod@mysql-node01 ~]$ mongo -usimon simon_db
MongoDB shell version v3.6.20
Enter password: 
connecting to: mongodb://127.0.0.1:27017/simon_db?gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("475eca63-9dab-4033-80b2-592d408e3902") }
MongoDB server version: 3.6.20
> 
> 

[mongod@mysql-node01 ~]$ mongo -u simon -p --authenticationDatabase simon_db
MongoDB shell version v3.6.20
Enter password: 
connecting to: mongodb://127.0.0.1:27017/?authSource=simon_db&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("99c66c4a-e715-4691-abda-22209e04aa72") }
MongoDB server version: 3.6.20
>

# 远程登录
[mongod@mysql-node01 ~]$ mongo -usimon 10.0.50.61:27017/simon_db
MongoDB shell version v3.6.20
Enter password: 
connecting to: mongodb://10.0.50.61:27017/simon_db?gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("547aefc8-9ef4-4ff0-ac0e-0f0363aaf159") }
MongoDB server version: 3.6.20
> 
>

[mongod@mysql-node01 ~]$ mongo -u simon -p --host 10.0.50.61:27017 --authenticationDatabase simon_db
MongoDB shell version v3.6.20
Enter password: 
connecting to: mongodb://10.0.50.61:27017/?authSource=simon_db&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("d464f703-2c19-4650-8b7f-f02e448cb974") }
MongoDB server version: 3.6.20
> 
>

修改密码

use admin
db.changeUserPassword("username", "xxx")

db.updateUser("username",{pwd:"changepass1"})；


# 修改密码和用户信息

db.runCommand(
    {
        updateUser:"username",
        pwd:"xxx",
        customData:{title:"xxx"}
    }

修改权限

# 注：updateuser 它是完全替换之前的值
db.updateUser("username",{roles:[ {role:"read",db:"testDB"} ]})

# 如果要新增或添加roles,则使用
db.grantRolesToUser() 
db.revokeRolesFromUser()

# 添加权限
db.grantRolesToUser("username",[
	{role:"readWrite", db:"testDB"},
	{role:"read", db:"testDB"}
	]
)


# 回收权限
db.revokeRolesFromUser("username",[
	{role:"read", db:"testDB"}
	]
)

查询mongodb中的用户信息

mongo -uroot -proot123 10.0.0.53/admin
db.system.users.find().pretty()


> use admin
> db.system.users.find({user:"simon"}).pretty()
{
	"_id" : "simon_db.simon",
	"userId" : UUID("da7fb905-13ca-415f-9759-b1fbc4675e62"),
	"user" : "simon",
	"db" : "simon_db",
	"credentials" : {
		"SCRAM-SHA-1" : {
			"iterationCount" : 10000,
			"salt" : "mpqF1ip6lg/aczK4Z6MLXg==",
			"storedKey" : "4anUFCBtgwuiwFJVnnwSJAlxQQE=",
			"serverKey" : "748WFqoSbNCX/yCY448K2V2nWtQ="
		}
	},
	"roles" : [
		{
			"role" : "readWrite",
			"db" : "simon_db"
		}
	]
}
>

删除用户（root身份登录，use到验证库）

删除用户

# 注意，删用户前，先查询用户所属那个认证库，切换到对应认证库，然后再删除。

mongo -uroot -proot123 10.0.0.53/admin
use oldboy1
db.dropUser("app02")


> use simon_db
switched to db simon_db
> db.dropUser("simon")
true
> 
> use admin
switched to db admin
> db.system.users.find(user:"simon")
2020-10-24T11:42:18.614+0800 E QUERY    [thread1] SyntaxError: missing ) after argument list @(shell):1:25
>


db.system.users.remove({user:"hejian"})

用户管理注意事项

1. 建用户要有验证库，管理员admin，普通用户是要管理的库
2. 登录时，注意验证库
mongo -uapp01 -papp01 10.0.0.51:27017/oldboy
3. 重点参数
net:
   port: 27017
   bindIp: 10.0.0.51,127.0.0.1
security:
   authorization: enabled