mongo-用户及角色管理_useradminanydatabase

一、简介

之前写了下mongo的部署，mongo部署可以说是比较简单的，因为我的配置文件里写了免密认证，所以我们登录是不需要验证的，但是为了安全，还是要做验证比较好

二、用户

1.用户管理命令

1.1 简介

MongoDB默认情况下不启用访问控制。您可以使用--auth或 security.authorization设置启用授权。启用内部身份验证也会启用客户端授权。

启用访问控制后，用户必须进行身份验证。

1.2 相关命令演示

use admin
# 1.创建用户
db.createUser(
  {
    user: "myUserAdmin",
    pwd: passwordPrompt(), // 这里也可以直接写密码
    roles: [ { role: "userAdminAnyDatabase", db: "admin" }, "readWriteAnyDatabase" ]
  }
)
# 这时候会让你输入密码，输入你想给admin用户设置的密码即可
db.createUser(
  {
    user: "myUserAdmin",
    pwd: '123', // 这里也可以直接写密码
    roles: [ { role: "userAdminAnyDatabase", db: "admin" }, "readWriteAnyDatabase" ]
  }
)
 
 
# 2.查看用户信息（该语句会列出所有用户信息）
db.getUsers();|show users;(两个语句都行)
[
	{
		"_id" : "admin.admin",
		"userId" : UUID("8c02adf8-14a8-4b66-8a1f-780dc1e929b5"),
     。。。
 
# 3.查看指定用户信息
db.getUser('admin')
{
	"_id" : "admin.admin",
	"userId" : UUID("8c02adf8-14a8-4b66-8a1f-780dc1e929b5"),
     。。。
 
# 4.删除指定用户
db.dropUser('admin')
 
 
# 5.删除所有用户
db.dropAllUsers()
 
# 6.修改用户密码
db.changeUserPassword('admin','456')
 
# 7.非用户登录mongo后再进行认证
 db.auth('admin','456')
 
# 8.更改用户信息
db.updateUser(
   "admin",
   {
     mechanisms: [ "SCRAM-SHA-256" ]
   }
)
 
# 9.给用户授权
db.grantRolesToUser(
   "admin",
   [ "readWrite" , { role: "read", db: "stock" } ],
   { w: "majority" , wtimeout: 4000 }
)
 
# 10.回收用户权限
db.revokeRolesFromUser( "admin",
                        [ { role: "read", db: "stock" }, "readWrite" ],
                        { w: "majority" }
                      )

三、角色

1.内部角色

2.角色相关命令

2.1 角色相关命令演示

use admin
# 1.创建角色
db.createRole(
   {
     role: "myClusterwideAdmin",
     privileges: [
       { resource: { cluster: true }, actions: [ "addShard" ] },
       { resource: { db: "config", collection: "" }, actions: [ "find", "update", "insert", "remove" ] },
       { resource: { db: "users", collection: "usersCollection" }, actions: [ "update", "insert", "remove" ] },
       { resource: { db: "", collection: "" }, actions: [ "find" ] }
     ],
     roles: [
       { role: "read", db: "admin" }
     ]
   },
   { w: "majority" , wtimeout: 4000 }
)
 
# 利用上面的特性可以做到把权限粒度控制在集合上，注意这里下面的roles不要给任何权限，只通过peivileges来控制，然后把col_ro的角色赋给对应的用户即可
# privileges中的actions操作可以通过官网查看：https://www.mongodb.com/docs/v4.4/reference/privilege-actions/#std-label-security-user-actions
db.createRole(
   {
     role: "col_ro", 
     privileges: [
       { resource: { db: "db_name", collection: "col_name" }, actions: [ "find" ] }
     ],
     roles: []
   }
)
 
db.createUser(
  {
    user: "app_col_ro",
    pwd: 'password',
    roles: [ { role: "col_ro", db: "db_name"} ]
  }
)
 
# 2.查看单库角色
db.getRoles()
# 因为我们是在admin创建的库，所以都可以看到，可以试试如下演示
use config
db.createRole(
   {
     role: "test_config",
     privileges: [
       { resource: { db: "config", collection: "" }, actions: [ "find", "update", "insert", "remove" ] }
     ],
     roles: [
       { role: "read", db: "config" }
     ]
   },
   { w: "majority" , wtimeout: 4000 }
)
use admin
db.getRoles()
 
 
 
# 3.查看指定角色信息
db.getRole('test')
 
# 4.查看所有角色，包括内置角色
show roles
 
# 5.删除指定自建角色
db.dropRole('test')
 
# 6.删除所有自建角色
db.dropAllRoles()
 
# 7.将权限分配给用户定义的角色
db.grantPrivilegesToRole(
  "test_config",
  [
    {
      resource: { db: "config", collection: "test" },
      actions: [ "find" ]
    }
  ],
  { w: "majority" }
)
 
# 8.从用户定义的角色中删除指定权限
db.revokePrivilegesFromRole(
  "test_config",
  [
    {
      resource: { db: "config", collection: "test" },
      actions: [ "find" ]
    }
  ],
  { w: "majority" }
)
 
# 9.从用户指定的角色中继承权限
db.grantRolesToRole(
    "test_config",
    [ "readWrite" ],
    { w: "majority" , wtimeout: 5000 }
)
 
# 10.从角色中删除继承的角色
db.revokeRolesFromRole(
    "test_config",
    [ "readWrite" ],
    { w: "majority" , wtimeout: 5000 }
)
 
# 11.修改一个用户自定义角色
db.updateRole(
    "test_config",
    {
      privileges:
          [
            {
              resource: { db:"config", collection:"test1" },
              actions: [ "update", "createCollection", "createIndex"]
            }
          ],
      roles:
          [
            {
              role: "readWrite",
              db: "config"
            }
          ]
    },
    { w:"majority" }
)

四、writeConcern文档

1.格式

{ w: <value>, j: <boolean>, wtimeout: <number> }

2.选项详解

2.1 w: 数据写入到number个节点才向用客户端确认

1. {w: 0} 对客户端的写入不需要发送任何确认，适用于性能要求高，但不关注正确性的场景
2. {w: 1} 默认的writeConcern，数据写入到Primary就向客户端发送确认
3. {w: “majority”} 数据写入到副本集大多数成员后向客户端发送确认，适用于对数据安全性要求比较高的场景，该选项会降低写入性能

2.2 j: 写入操作的journal持久化后才向客户端确认

1. 默认为”{j: false}，如果要求Primary写入持久化了才向客户端确认，则指定该选项为true

2.3 wtimeout: 写入超时时间，仅w的值大于1时有效。

当指定{w: }时，数据需要成功写入number个节点才算成功，如果写入过程中有节点故障，可能导致这个条件一直不能满足，从而一直不能向客户端发送确认结果，针对这种情况，客户端可设置wtimeout选项来指定超时时间，当写入过程持续超过该时间仍未结束，则认为写入失败。

3.{w: “majority”}解析

{w: 1}、{j: true}等writeConcern选项很好理解，Primary等待条件满足发送确认；但{w: “majority”}则相对复杂些，需要确认数据成功写入到大多数节点才算成功，而MongoDB的复制是通过Secondary不断拉取oplog并重放来实现的，并不是Primary主动将写入同步给Secondary，那么Primary是如何确认数据已成功写入到大多数节点的？

1. Client向Primary发起请求，指定writeConcern为{w: “majority”}，Primary收到请求，本地写入并记录写请求到oplog，然后等待大多数节点都同步了这条/批oplog（Secondary应用完oplog会向主报告最新进度)。
2. Secondary拉取到Primary上新写入的oplog，本地重放并记录oplog。为了让Secondary能在第一时间内拉取到主上的oplog，find命令支持一个awaitData的选项，当find没有任何符合条件的文档时，并不立即返回，而是等待最多maxTimeMS(默认为2s)时间看是否有新的符合条件的数据，如果有就返回；所以当新写入oplog时，备立马能获取到新的oplog。
3. Secondary上有单独的线程，当oplog的最新时间戳发生更新时，就会向Primary发送replSetUpdatePosition命令更新自己的oplog时间戳。
4. 当Primary发现有足够多的节点oplog时间戳已经满足条件了，向客户端发送确认。

官网地址：Role Management Methods — MongoDB Manual