1. 介绍
由于mongodb默认没有设置密码访问,而且mongodb的访问权限设计,必须使用有权限的用户给每个库设置一个用户,才能使用,且2.X版本与3.X版本区别有点大,所以要注意以下几点。
1.mongodb是没有默认管理员账号，所以要先添加管理员账号，在开启权限认证。
2.切换到admin数据库，添加的账号才是管理员账号。
3.用户只能在用户所在数据库登录，包括管理员账号。
4.管理员可以管理所有数据库，但是不能直接管理其他数据库，要先在其它数据库下认证才可以。
5.用户创建只能在本地。
6.mongo命令工具远程时，备份时，命令仅向下兼容。
2. Mongo的内置角色
在mongo里面，有许多内置角色对应各种权限，下面简单介绍一下。
- Built-In Roles（内置角色）：
数据库用户角色：read、readWrite;
数据库管理角色：dbAdmin、dbOwner、userAdmin；
集群管理角色：clusterAdmin、clusterManager、clusterMonitor、hostManager；
备份恢复角色：backup、restore；
所有数据库角色：readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
超级用户角色:root
// 这里还有几个角色间接或直接提供了系统超级用户的访问（dbOwner 、userAdmin、userAdminAnyDatabase）
内部角色:__system
- 具体权限
Read：允许用户读取指定数据库
readWrite：允许用户读写指定数据库
dbAdmin：允许用户在指定数据库中执行管理函数，如索引创建、删除，查看统计或访问system.profile
userAdmin：允许用户向system.users集合写入，可以找指定数据库里创建、删除和管理用户
clusterAdmin：只在admin数据库中可用，赋予用户所有分片和复制集相关函数的管理权限。
readAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读权限
readWriteAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读写权限
userAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的userAdmin权限
dbAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的dbAdmin权限。
root：只在admin数据库中可用。超级账号，超级权限。
3. Mongo2.4版本开启用户认证
由于2.4版本比较老,且2.4一般为centos6.5默认包版本,所以2.4版本只是简单的讲解一下步骤。
1.首先开启了用户认证后,第一次登录还是不需要密码的。
2.进入admin数据库,然后创建一个管理账户。
Use 数据库名,如果没有改库,那么就会自动创建这个库
Mongo2.4版本创建数据库如果没有其它readonly或者其它要求,创建只需要用户名以及密码就可以了
3.一旦创建了用户,首先需要认证,否则在改库下做任何操作都没有权限。
4.认证后查看
返回值为1代表认证成功
5.查看当前数据库下的用户
6.现在创建了admin的数据库,可以查看其它数据库,在本地登录时,mongo2.4版本只要登录了admin账户,那么可以切换到其它数据库做操作
7.远程访问admin数据库可登录,访问lizexiong数据库无效
在远程上无法授权和创建用户,并且,如果lizexiong库没有用户,直接远程过来会失败，但是远程登录admin之后在切换lizexiong库是没有问题的,但lizexiong库如果没有用户,java,php等程序直接连接lizexiong库会失败,所以需要给lizexiong创建一个用户.这里为了方便记忆,所以用户名和密码与admin库一模一样。
Mongo3.X如果给了root权限可以随意切换（前提是在非admin库下创建root角色）,且3.X版本查看用户以及角色命令发生变化,信息更加详细。
首先测试远程admin并且切换到lizexiong操作成功
然后直接远程lizexiong失败
8.给lizexiong库设置用户,然后远程访问
创建用户
远程测试,连接上了,此时只能访问lizexiong库里的内容,其它库一概没有权限,而且必须要到本地去给其它库加用户。
9.如果要给其它库创建只读用户,mongo2.4版本只需要加一个True就可以了
db.addUser('tank2','test',true);
4. Mongo 3.X开启用户认证
2.X与3.X配置文件完全改版,所以3.X开启用户认证以及添加用户方式完全不同,但是如果程序想要远程连接,还是和2.X版本一样,每一个库都必须有一个用户。
1.Mongo3.X开启用户认证.
由于版本不同，配置文件区别也较大,所以这里贴出配置文件，下文中标黄的就是开启认证
[root@CentOS7 ~]# egrep -v "^#|^$" /etc/mongod.conf.bak
systemLog:
destination: file
logAppend: true
path: /usr/local/mongodb/logs/mongod.log
storage:
dbPath: /usr/local/mongodb/data
journal:
enabled: true
processManagement:
fork: true # fork and run in background
pidFilePath: /usr/local/mongodb/tmp/mongod.pid # location of pidfile
net:
port: 27017
bindIp: 0.0.0.0 # Listen to local interface only, comment to listen on all interfaces.
security:
authorization: enabled
2.登录,然后切换到admin,发现是没有任何权限的（不同此版本结果不一样，3.4.24可以直接查询）
3.现在创建一个root角色的用户。
3X版本创建用户命令也发生了改变,创建成功之后,还是要去认证一下,否者干什么都是无权限。
> db.createUser(
... {
... user:"root",
... pwd:"huawei",
... roles:[{role:"root",db:"admin"}]
... }
... )
Successfully added user: {
"user" : "root",
"roles" : [
{
"role" : "root",
"db" : "admin"
}
]
}
手动认证
4.现在尝试远程登录admin库成功,登录test库失败,因为test库还没有用户
登录test失败
5.现在给test创建用户,然后尝试远程登录。
给一个库建立用户,那么就要用角色dbOwner,此角色可以限制该用户无法访问其它库信息
远程登录测试
可以看到，无法访问其它库的信息
6.验证,在admin库和test库查看角色和用户信息。
admin
test
7.本小节属于扩展篇,对于其它库远程,使用同一个账户,且可以任意切换数据库。
那就是在比如test库里面创建root角色,然后root的所属库还是admin,不知道算不算一个bug（因为之前版本测试在非admin库里面时是无法创建root角色的）
首先删除dbOwner角色用户,然后创建root角色用户
然后远程访问测试
这个时候可以访问了
可以看到,Mongo里不仅能看到test的信息,还可以看到其它库的信息
然后在user库下面查看用户
所以说这种方式,变相的给了test库加了一个root的角色权限,那么可以即使在远程的时候也可以随意切换库来操作了。