【安全科普】MongoDB 权限控制系统简介

这就是我们没有权限控制前的日常，建索引不加 [backgroud：true] 、直接误删业务库或集合数据、对集合每个字段添加单列索引导致容量急剧膨胀还有各种突破认知范围的误操作。由于 MongoDB 早期版本自身对权限控制极其简单粗暴，DBA 为了兼容不同版本的可用性在权限控制上也只能对业务用户授予“超级”（root）用户权限。这也就相当于给伟大的开发开启了邪恶的“番多拉之盒”。 随着MongoDB3.x 版本的大规模上线，为了避免线上误操作及一些其他人为低级错误，我们迫切需要引入更精细化的权限控制机制。从 MongoDB 2.6  版本 开始 MongoDB 已经开始尝试引入相对精细的权限控制，不过直到 MongoDB3.0 版本权限体系才算相对完善，所以本文将主要介绍 MongoDB3.0 版本的权限控制机制。

mongo -u mongo -p xxx --host xxx --port xxx --authenticationDatabase=admin

use admin ; // 进入名为admin的数据库下,下同
db.createRole(
       { role:"testrole", //角色名称
       privileges: [ // 权限集
                  {
                     resource: //资源 {
                             db:"lidan",     // 创建的testrole角色具有对lidan库的操作权限，具体权限建actions
                             collection:""   // lidan库下对应的集合名 如果为"" 表示所有集合
                },
                     actions: [ "find", "insert", "remove","update" ]   //角色可进行的操作，注意这里是一个数组
                   }
                  ],
         roles: [ ] // 是否继承其他的角色，如果指定了其他角色那么新创建的角色自动继承对应其他角色的所有权限，该参数必须显示指定
       }
)

上述语句在 admin 库里创建了一个名为 testrole的角色，该角色具有对数据库lidan下的所有集合进行 find、insert、remove、update的操作的权限。

db.system.roles.find();

另外， MongoDB 所有权限操作列表详见文末连接：MongoDB 权限操作列表

use admin; // 数据库必须是创建所要查看角色时的数据库，下同
db.getRole( 
            "testrole", //要查看角色的名字
            { 
               showPrivileges: true   //指定查看角色信息的时候是否显示它所拥有的权限信息，也可不指定
            } 
          )

角色继承

use admin;
//角色继承
db.grantRolesToRole(  
                     "testrole",
                     [ "otherrole1","otherrole2" ] // 将 otherrole1、otherrole2 两个角色（假设之前已经创建好）的权限授予testrole角色
                    )
//角色权限回收
db.revokeRolesFromRole(
                         "testrole" ,
                         [ "otherrole2" ] // 撤销testrole角色从otherrole2角色所继承的所有权限
                      )

角色授权

use admin;
db.grantPrivilegesToRole(
    "testrole",
        [
        {
            resource: //权限可操作的资源
               {
                    db:"lidan_1",  // 授予testrole角色具有操作lidan_1库的权限
                    collection:"" // lidan_1库下的集合 如果为"" 表示所有集合
                },                                                 
            actions:  // 权限允许的操作
            [ "createCollection", "dropCollection","convertToCapped"] //权限可进行的操作
        } 
        ]
)

执行完操作后testrole角色便可以对库lidan_1下的所有集合进行 "createCollection", "dropCollection","convertToCapped" 操作。

use admin;
db.revokePrivilegesFromRole(
      "testrole",
      [
          {
              resource: //权限可操作的资源
              {
                  db:"lidan_1",  // 回收角色对库lidan_1的actions 操作权限
                  collection:"" //  lidan_1库下所有的集合 如果为"" 表示所有集合
              },                                                 
              actions:  // 权限允许的操作
                  [ "createCollection", "dropCollection","convertToCapped"] //需要回收的权限
              } 
      ]
)

执行完操作后testrole角色对库lidan_1下的所有集合无法进行 "createCollection", "dropCollection","convertToCapped" 操作。

use admin;
db.dropRole("testrole") // 删除角色比较简单直接指定要删除角色的名称即可

其他关于角色的对应操作请参考文末连接：MongoDB角色管理方法

user admin;
// 指定内建角色来创建用户
db.createUser(
    {
        user:'mongo', // 用户名
        pwd:'123',    // 密码
        roles:[ 
                  {
                      role:'root',// 通过指定内建角色root 来创建用户
                      db:'admin'  // 指定角色对应的认证数据库，内建角色通常认证库为admin
                  }
              ]
    }
) ;
// 指定自定义角色来创建用户，这里是在admin下创建的用户故认证库也是admin
db.createUser(
    {  
        user:"mongo",// 用户名
        pwd:"123",   // 密码
        roles:["testrole"] //通过指定用户自定义角色来创建用户,注意这里是数组
    }
)

用户创建成功后可以使用如下语句登陆：

mongo   -u mongo -p 123 --host 127.0.0.1 --port 9999 --authenticationDatabase=admin

查看用户

use admin;
db.getUser("mongo") // 查看用户比较简单只需要指定用户名即可

为用户 添加/回收 角色

use admin;
//为用户添加角色
db.grantRolesToUser(
    "mongo", // 用户名
        [ 
            { role: "testrole", // 需要添加的角色名 
                db: "admin" // 角色对应的认证库，即角色创建时所在的数据库
            } 
        ]
)
//对用户的角色进行回收，如果将用户所有的角色都回收完毕，那么用户只有对所属库的连接权限
db.revokeRolesFromUser(
    "mongo", // 用户名
        [ 
            { role: "testrole", // 需要回收的角色名 
                db: "admin" // 角色对应的认证库，即角色创建时所在的数据库
            } 
        ]
)

删除用户

use admin;
db.dropUser("mongo"); // 删除用户比较简单直接指定用户名即可

另外，除上述对用户的操作方法外还有其他对用户的管理方法。这里就不一一列举可详见文末连接：MongoDB 用户管理方法