如何在 MongoDB 中管理授权和权限

简介

授权是用户管理和访问控制中必不可少的组成部分，它定义了每个用户在系统上可以执行哪些操作的策略。确定哪些策略是合适的，并在你的数据库中实施这些策略，可以确保用户可以与他们需要的资源进行交互，同时防止不当行为。

在本指南中，我们将介绍授权在 MongoDB 中的工作原理。我们将介绍 MongoDB 如何概念化访问管理，哪些类型的权限可以授予用户，以及如何将策略附加到用户帐户。

先决条件

要遵循本指南，你需要在具有适当权限的 MongoDB 服务器上拥有一个帐户。

要调整 MongoDB 的配置并在数据库上启用授权，你需要在服务器上拥有 root 级别的访问权限。

此外，在 MongoDB 中，你需要一个至少具有 userAdmin 角色的帐户，以便可以设置基于角色的授权策略。包含 userAdmin 角色的角色（从最窄的关注范围到最广泛的权限范围排列）是

• userAdmin
• dbOwner
• userAdminAnyDatabase
• root

MongoDB 中的授权机制如何运作？

MongoDB 中的授权和权限管理是使用 基于角色的访问控制 (RBAC) 实现的。在这个系统中，不同的访问级别与单个角色相关联。要授予用户执行操作的权限，你需要授予他们具有适当权限的角色成员资格。

MongoDB 中的角色可以嵌套。这意味着角色可以授予其他角色。包含另一个角色的角色继承了所有子角色的权限。这使得可以通过适当地组合角色来创建具有所需权限的新角色。

权限本身由操作和资源的组合定义。操作部分描述了权限允许的行为类型，而资源指示操作的目标或范围。

MongoDB 中有哪些资源可用？

操作的目标或范围在 MongoDB 的访问控制模型中被称为资源。每个操作只能应用于特定类型的资源。在配置权限时，你需要指定权限应该适用的确切资源。

我们可以从最窄的关注范围到最广泛的关注范围，逐一介绍可用的资源。

权限可以通过将其范围限定到特定集群中特定数据库内的特定 集合 来最严格地定义。在同一个数据库中，不同的集合可以指定不同的权限。这允许你为不同类型的数据实施细粒度的策略。

你可以实施策略的下一个最大的资源是 数据库。在数据库级别管理权限允许你提供影响整个数据库及其所有集合的一般策略。

你还可以设置适用于所有数据库中同名集合的策略。这允许你使用命名约定在整个系统中实施特定集合的访问控制。更广泛的版本是将策略应用于系统上的所有数据库和非系统集合。

最后，你可以针对整个 集群 应用策略。针对集群的操作会影响一般系统，而不是它直接管理的数据。集群级别的策略倾向于关注管理操作。

MongoDB 中有哪些操作可用？

MongoDB 中有许多操作与一般使用、数据库管理和系统管理相关。一般来说，操作对应于 MongoDB 中的一个或多个命令或方法。

要查看 MongoDB 中可用的操作列表及其功能，请展开下面的部分。

MongoDB 默认提供哪些角色？

MongoDB 包含许多有用的角色，它们将类似的权限组合在一起。这些角色允许您以简洁的方式授予和撤销对数据库资源的权限。

要查看 MongoDB 中可用的操作列表及其功能，请展开下面的部分。

如何在 MongoDB 中启用授权

在 MongoDB 可以使用授权管理用户权限之前，您必须在服务器或集群上启用此功能。为此，您必须使用 root 或其他管理员权限登录到服务器。

注意：在启用授权之前，请仔细检查确保您至少拥有一个角色，该角色具有管理角色所需的权限。

通过使用文本编辑器以管理员身份打开 /etc/mongod.conf 文件来修改 MongoDB 服务器的配置。此命令将使用 EDITOR 环境变量中定义的文本编辑器打开文件，并回退到 vi，它在几乎所有系统上都可用。

sudo ${EDITOR:-vi} /etc/mongod.conf

MongoDB 配置文件使用 YAML 序列化格式 来定义配置。取消注释或在文件中添加一个 security: 节点键。在该键下方，使用空格缩进一行（YAML 中不允许使用制表符），并将 authorization 设置为 enabled

. . .
security:
  authorization: enabled
. . .

完成后，保存并关闭文件。

要启用新的设置，请重新启动 MongoDB 服务器进程。如果您的 MongoDB 服务器在 Linux 主机上运行，操作将如下所示

sudo systemctl restart mongod.service

进程重新启动后，MongoDB 的授权框架应该在数据库中启用。

查看权限和角色

在开始将角色分配给用户之前，最好先了解如何在系统中查看有关权限和角色的信息。

要查看系统上所有可用的角色，包括所有内置角色及其关联的权限，请使用 db.getRoles() 方法，并将 showPrivileges 和 showBuiltinRoles 选项设置为 true

db.getRoles({
    rolesInfo: 1,
    showPrivileges: true,
    showBuiltinRoles: true
})

返回的列表将包含有关每个角色及其在系统中各种资源上的权限的完整嵌套信息列表。

要获取有关特定角色的信息，请改用 db.getRole() 方法。您必须在执行命令之前位于用户定义所在的数据库中。

use admin
db.getRole(
    "root",
    {
        showPrivileges: true,
        showBuiltinRoles: true
    }
)

要检查已授予每个用户的角色，请切换到您感兴趣的数据库并使用 db.getUsers() 方法

use admin
db.getUsers()

要检查与特定用户关联的角色，请改用 db.getUser()

use admin
db.getUser("root")

分配和撤销用户的角色

要授予用户更多权限，您必须授予他们访问现有角色的权限。

db.grantRolesToUser() 方法允许您指定要添加到用户的额外角色。它的第一个参数是要授予额外权限的用户，第二个参数是要添加的额外角色数组。

db.grantRolesToUser(
    "sally",
    [
        "read",
        "backup"
    ]
)

如果角色在当前数据库中定义，您可以使用上面的简写方法，该方法通过名称指定角色，而不提及数据库。

要授予与其他数据库关联的角色，或更明确地指定角色，请使用文档指定 role 和 db，而不是数据库名。

db.grantRolesToUser(
    "sally",
    [
        { role: "read", db: "sales"},
        { role: "readWrite", db: "callLogs"}
    ]
)

要撤销用户的角色，您可以使用名为 db.revokeRolesFromUser() 的配套方法。参数语法完全相同，但这次，命令将从指定的帐户中删除角色。

要删除在当前数据库中定义的角色，您可以使用角色名称，而不提及数据库。

db.revokeRolesFromUser(
    "sally",
    [
        "read",
        "backup"
    ]
)

要指定与其他数据库关联的角色，请使用长格式，在文档中指定 role 和 db。

db.revokeRolesFromUser(
    "sally",
    [
        { role: "read", db: "sales"},
        { role: "readWrite", db: "callLogs"}
    ]
)

创建和管理自定义角色

有时系统内置的角色无法完全满足您需要分配的权限类型。在这种情况下，您可以创建自己的自定义角色。

db.createRole({
    role: "salesMonitor",
    privileges: [],
    roles: [
        {
            role: "read",
            db: "sales"
        }
    ],
})

db.createRole({
    role: "salesMonitor",
    privileges: [
        {
            resource: { db: "sales", collection: "" },
            actions: [ "find" ]
        }
    ],
    roles: []
})

db.getRole(
    "salesMonitor",
    {
        showPrivileges: true
    }
)

db.grantPrivilegesToRole(
    "salesMonitor",
    [
        {
            resource: { db: "sales", collection: "" },
            actions: [ "listCollections" ]
        }
    ]
)

db.revokePrivilegesFromRole(
    "salesMonitor",
    [
        {
            resource: { db: "sales", collection: "" },
            actions: [ "listCollections" ]
        }
    ]
)

db.grantRolesToRole(
    "salesMonitor",
    [
        "read"
    ]
)

db.revokeRolesFromRole(
    "salesMonitor",
    [
        "read"
    ]
)

db.updateRole(
    "salesMonitor",
    {
        privileges: [],
        roles: [
            {
                role: "read",
                db: "sales"
            }
        ]
    }
)

db.dropRole()

结论

在本文中，我们介绍了 MongoDB 如何实现访问控制和权限管理的很多方面。我们了解了该系统的概念基础，看到了管理员可用于管理的角色、操作和资源，然后了解了如何使用角色系统来配置整个系统的授权。

这些技能对于为用户提供完成其所需任务所需的资源访问权限，同时限制对系统无关部分的访问是必要的。了解如何定义和利用角色可以提高您对管理的 MongoDB 系统提供细粒度访问控制的能力。

常见问题解答