[日期:2017-10-21] | [字体:大 中 小] |
认识权限管理,说明主要概念及关系,与大多数数据库一样,Mongodb同样提供了一套权限管理机制。 为了体验Mongodb 的权限管理,我们找一台已经安装好的Mongodb,可以参照这里搭建一个单节点的Mongodb。
直接打开mongo shell:
- . / bin / mongo--port = 27017
尝试执行stats命令以查看appdb数据库的状态:
- MongoDB Enterprise > use appdb
- MongoDB Enterprise > db.stats()
- {
- "ok" : 0,
- "errmsg" : "not authorized on nscl to execute command { dbstats: 1.0, scale: undefined }",
- "code" : 13
- }
此时的提示正是说明你当前的操作没有获得许可,使用appdb预创建的用户进行鉴权:
- > db.auth('appuser','yourpassword')
- 1
- > db.stats()
- {
- "db" : "appdb",
- "collections" : 0,
- "views" : 0,
- "objects" : 0,
- "avgObjSize" : 0,
- "dataSize" : 0,
- "storageSize" : 0,
- "numExtents" : 0,
- "indexes" : 0,
- "indexSize" : 0,
- "fileSize" : 0,
- "ok" : 1
- }
可以发现,在通过验明身份之后,stats操作的鉴权获得了许可。
以上例子可能让你对数据库鉴权有了点浅显认识,那么接下来开始说点概念了,大致是叫基于角色的权限控制
[图-角色权限控制]
先解释下图中的几个实体:
噢,关于图的简单解释: 权限定义了对某些资源的某些操作,角色则可以拥有多个权限; 用户User可以被赋予多个角色,从而获得这些角色所拥有的权限以操作某些资源。
对于Mongodb来说,只要开启鉴权,所有的DB访问操作都需要通过权限检查。而大致的操作流程跟下图类似
[图-mongo鉴权]
阐述Mongodb支持的几种鉴权方式 鉴权方式是指Mongodb如何识别接入用户,如何检查权限是否合法的一系列校验机制。
SCRAM-SHA-1 是当前推荐使用的鉴权方式,既然如此,有必要上图继续解释:
步骤解读
可以看到,SCRAM鉴权时也类似SSL/TLS 的握手过程,但相比之下简单许多,同时在性能方面也要具备优势; 然后我们看看安全性的部分:
另外SCRAM-SHA-1 相比MONGODB-CR的优势还有:
A tunable work factor (iterationCount), 可灵活调整的安全系数 Per-user random salts rather than server-wide salts 每个用户有独立的随机系数 A cryptographically stronger hash function (SHA-1 rather than MD5), 更安全的hash函数 Authentication of the server to the client as well as the client to the server. 支持双向认证
对 SCRAM-SHA-1的实现感兴趣?戳这里
副本集、分片集群内鉴权方式
内部鉴权是指 Mongo集群内部节点之间进行访问的鉴权方式,比如副本集内主备之间的访问、分片集群内Mongos 与Mongod之间的访问。 内部鉴权目前支持两种方式:
针对Mongodb数据库中的各种角色进行说明
数据库访问
角色名称 | 拥有权限 |
---|---|
read | 允许读取指定数据库的角色 |
readWrite | 允许读写指定数据库的角色 |
数据库管理
角色名称 | 拥有权限 |
---|---|
dbAdmin | 允许用户在指定数据库中执行管理函数,如索引创建、删除,查看统计或访问system.profile |
userAdmin | 允许管理当前数据库的用户,如创建用户、为用户授权 |
dbOwner | 数据库拥有者(最高),集合了dbAdmin/userAdmin/readWrite角色权限 |
集群管理
角色名称 | 拥有权限 |
---|---|
clusterAdmin | 集群最高管理员,集合clusterManager/clusterMonitor/hostManager角色权限 |
clusterManager | 集群管理角色,允许对分片和副本集集群执行管理操作,如addShard,resync等 |
clusterMonitor | 集群监控角色,允许对分片和副本集集群进行监控,如查看serverStatus |
hostManager | 节点管理角色,允许监控和管理节点,比如killOp、shutdown操作 |
备份恢复
角色名称 | 拥有权限 |
---|---|
backup | 备份权限,允许执行mongodump操作 |
restore | 恢复权限,允许执行mongoresotre操作 |
数据库通用角色
角色名称 | 拥有权限 |
---|---|
readAnyDatabase | 允许读取所有数据库 |
readWriteAnyDatabase | 允许读写所有数据库 |
userAdminAnyDatabase | 允许管理所有数据库的用户 |
dbAdminAnyDatabase | 允许管理所有数据库 |
特殊角色
角色名称 | 拥有权限 |
---|---|
root | 超级管理员,拥有所有权限 |
__system | 内部角色,用于集群间节点通讯 |
基本是这些,有兴趣可看看官方的内置角色 Mongodb 的用户及角色数据一般位于当前实例的 admin数据库,system.users存放了所有数据; 存在例外的情况是分片集群,应用接入mongos节点,鉴权数据则存放于config节点。因此有时候为了方便分片集群管理,会单独为分片内部节点创建独立的管理操作用户;
简单列举用户权限相关的常用操作
授权启动
- . / bin / mongod--auth
默认为非授权启动 也可以通过security.authorization配置指定
创建管理员用户
- use admin
- db.createUser({
- user:'admin',pwd:'admin@2016',roles:[
- {role:'clusterAdmin',db:'admin'},
- {role:'userAdminAnyDatabase',db:'admin'}
- ]})
创建用户
- use appdb
- db.createUser({user:'appuser',pwd:'appuser@2016'})
授予权限
- use appdb
- db.grantRolesToUser("appuser", [{role:'readWrite',db:'appdb'}])
删除权限
- use appdb
- db.revokeRolesFromUser("appuser",[{ role: "read", db: "appdb" }])
更多操作
- use appdb
- MongoDB Enterprise > db.stats()
- {
- "ok" : 0,
- "errmsg" : "not authorized on appdb to execute command { dbstats: 1.0, scale: undefined }",
- "code" : 13
- }
原因:当前连接未鉴权或用户没有操作权限 解决:为用户分配适当权限,并执行auth操作,如下:
- db.auth('appuser', 'yourpassword');
db.eval() 是一个全局操作,可执行任意数据库脚本; 执行该命令需要拥有anyAction或anyResource的权限,通常不建议为数据库用户赋予这样的权限。 该命令存在安全风险,已不建议使用(mongodb 3.0之后已经过期)。
Mongodb 鉴权机制 https://docs.mongodb.com/manual/core/authentication/
Mongodb 内置角色介绍 https://docs.mongodb.com/manual/reference/built-in-roles/#database-user-roles
Mongodb 权限操作介绍 https://docs.mongodb.com/manual/reference/privilege-actions/#security-user-actions
更多MongoDB相关教程见以下内容:
MongoDB文档、集合、数据库简介 http://www.linuxidc.com/Linux/2016-12/138529.htm
MongoDB 3分片部署及故障模拟验证 http://www.linuxidc.com/Linux/2016-12/138529.htm
Linux CentOS 6.5 yum安装MongoDB http://www.linuxidc.com/Linux/2016-12/137790.htm
CentOS 7 yum方式快速安装MongoDB http://www.linuxidc.com/Linux/2016-11/137679.htm
MongoDB的查询操作 http://www.linuxidc.com/Linux/2016-10/136581.htm
在 Azure 虚拟机上快速搭建 MongoDB 集群 http://www.linuxidc.com/Linux/2017-09/146778.htm
MongoDB复制集原理 http://www.linuxidc.com/Linux/2017-09/146670.htm
MongoDB 3.4 远程连接认证失败 http://www.linuxidc.com/Linux/2017-06/145070.htm
Ubuntu 16.04中安装MongoDB3.4数据库系统 http://www.linuxidc.com/Linux/2017-07/145526.htm
MongoDB权威指南第2版PDF完整带书签目录 下载见 http://www.linuxidc.com/Linux/2016-12/138253.htm
MongoDB 的详细介绍:请点这里
MongoDB 的下载地址:请点这里
来源: http://www.linuxidc.com/Linux/2017-10/147865.htm