前兩天寫了一篇安裝mongoDB的部落格，今天講一講如何給mongoDB設定許可權。mongoDB預設是不開啟密碼的，並且在之前的mongoDB版本中曾經有一個非常嚴重的bug，導致黑客可以通過你開放的mongoDB服務埠直接登入你的伺服器，之前不知道這個bug，所以沒有設定許可權，結果就中招了。所以，開放mongoDB服務加上連線許可權的一個必要的事情。

新增資料庫管理員

首先，我們要給資料庫新增一個管理員，這個身份的使用者可以操作所有的database，管理所有的使用者，新增的時候要記錄好使用者名稱及密碼

$ mongo                // 連線資料庫

use admin               // 切換資料庫
 

db.createUser(
    {
        user: "adminName", 
        pwd: "*****",
        roles: [ { role: "clusterAdmin", db: "admin" },
        { role: "readAnyDatabase", db: "admin" },
        "readWrite"]
    },
    { w: "majority", wtimeout: 5000 }
)

給其他資料庫新增對應的讀寫使用者

use test          // 切換資料庫
db.createUser({
    user: "test"
 
, 
    pwd: "*****",
    roles: [ 
        { role: "read", db: "reporting" },      // reporting資料庫讀許可權
        { role: "readWrite", db: "accounts" }   // accounts資料庫讀寫許可權
    ]
})

開啟mongoDB驗證模式

以上新增使用者的操作是在mongoDB未開啟驗證模式時進行的，新增完使用者之後我們需要關閉mongoDB，然後以驗證模式重新啟動，之後未驗證使用者名稱密碼時操作資料庫會提示沒有許可權

// -f 使用引數檔案，--auth 開啟驗證，--fork 以後臺服務的形式啟動
 

$ mongod start -f /etc/mongo.conf --auth --fork
$ mongo
> show users
2016-09-17T10:52:08.058+0800 E QUERY    [thread1] Error: not authorized on test to execute command { usersInfo: 1.0 } :
_get[email protected]/mongo/shell/utils.js:25:13
[email protected]/mongo/shell/db.js:1523:1
[email protected]/mongo/shell/utils.js:744:9
[email protected]/mongo/shell/utils.js:651:15
@(shellhelp2):1:1

> use test
> db.auth('username', 'password')      // 驗證使用者名稱密碼

管理使用者

use products
// 更新使用者資訊
db.updateUser("username", {
    customData : { <any information> },
    roles : [
        { role: "<role>", db: "<database>" } | "<role>"
    ],
    pwd: "<cleartext password>"
})

// 更改使用者密碼
db.changeUserPassword("username", "new password")

// 刪除所有使用者
db.dropAllUsers({w: "majority", wtimeout: 5000})

// 刪除單個使用者
db.dropUser("username", {w: "majority", wtimeout: 5000})

// 更改使用者角色
db.grantRolesToUser(
    "username",
    [ "readWrite" , { role: "read", db: "test" } ],
    { w: "majority" , wtimeout: 5000 }
)

// 刪除使用者角色
db.revokeRolesFromUser(
    "username", 
    [ { role: "read", db: "test" }, "readWrite" ], // 移除使用者讀test資料庫的許可權以及所有的讀寫許可權
    { w: "majority" }
)

// 獲取使用者資訊
db.getUser("username")

// 獲取所有使用者資訊
db.getAllUsers()