客服电话
APP下载
迪恩网络APP
随时随地掌握行业动态
官方微信
扫描二维码
关注迪恩网络微信公众号
|
前言 本文主要给大家介绍了Mongodb认证鉴权的一些相关内容，通过设置认证鉴权会对大家的mongodb安全进一步的保障，下面话不多说了，来一起看看详细的介绍吧。 一、Mongodb 的权限管理 认识权限管理，说明主要概念及关系 与大多数数据库一样，Mongodb同样提供了一套权限管理机制。 为了体验Mongodb 的权限管理，我们找一台已经安装好的Mongodb，可以参照这里搭建一个单节点的Mongodb。 直接打开mongo shell： ./bin/mongo --port=27017 尝试执行stats命令以查看appdb数据库的状态：
MongoDB Enterprise > use appdb
MongoDB Enterprise > db.stats()
{
"ok" : 0,
"errmsg" : "not authorized on nscl to execute command { dbstats: 1.0, scale: undefined }",
"code" : 13
}
此时的提示正是说明你当前的操作没有获得许可，使用appdb预创建的用户进行鉴权：
> db.auth('appuser','yourpassword')
1
> db.stats()
{
"db" : "appdb",
"collections" : 0,
"views" : 0,
"objects" : 0,
"avgObjSize" : 0,
"dataSize" : 0,
"storageSize" : 0,
"numExtents" : 0,
"indexes" : 0,
"indexSize" : 0,
"fileSize" : 0,
"ok" : 1
}
可以发现，在通过验明身份之后，stats操作的鉴权获得了许可。 以上例子可能让你对数据库鉴权有了点浅显认识，那么接下来开始说点概念了，大致是叫基于角色的权限控制
[图-角色权限控制] 先解释下图中的几个实体：
噢，关于图的简单解释： 权限定义了对某些资源的某些操作，角色则可以拥有多个权限； 用户User可以被赋予多个角色，从而获得这些角色所拥有的权限以操作某些资源。 对于Mongodb来说，只要开启鉴权，所有的DB访问操作都需要通过权限检查。而大致的操作流程跟下图类似
[图-mongo鉴权] Mongodb 的用户归属于某个数据库，用户需要在所属的数据库中进行鉴权； 二、鉴权方式 阐述Mongodb支持的几种鉴权方式 鉴权方式是指Mongodb如何识别接入用户，如何检查权限是否合法的一系列校验机制。
SCRAM-SHA-1 是当前推荐使用的鉴权方式，既然如此，有必要上图继续解释：
步骤解读
可以看到，SCRAM鉴权时也类似SSL/TLS 的握手过程，但相比之下简单许多，同时在性能方面也要具备优势； 然后我们看看安全性的部分：
另外SCRAM-SHA-1 相比MONGODB-CR的优势还有： A tunable work factor (iterationCount), 可灵活调整的安全系数 Per-user random salts rather than server-wide salts 每个用户有独立的随机系数 A cryptographically stronger hash function (SHA-1 rather than MD5), 更安全的hash函数 Authentication of the server to the client as well as the client to the server. 支持双向认证 对 SCRAM-SHA-1的实现感兴趣？戳这里 三、内部鉴权 副本集、分片集群内鉴权方式 内部鉴权是指 Mongo集群内部节点之间进行访问的鉴权方式，比如副本集内主备之间的访问、分片集群内Mongos 与Mongod之间的访问。 内部鉴权目前支持两种方式：
四、数据库角色 针对Mongodb数据库中的各种角色进行说明 数据库访问
数据库管理
集群管理
备份恢复
数据库通用角色
特殊角色
基本是这些，有兴趣可看看官方的内置角色 Mongodb 的用户及角色数据一般位于当前实例的 admin数据库，system.users存放了所有数据； 存在例外的情况是分片集群，应用接入mongos节点，鉴权数据则存放于config节点。因此有时候为了方便分片集群管理，会单独为分片内部节点创建独立的管理操作用户； 五、相关操作 简单列举用户权限相关的常用操作 授权启动 ./bin/mongod --auth 默认为非授权启动 也可以通过security.authorization配置指定 创建管理员用户
use admin
db.createUser({
user:'admin',pwd:'admin@2016',roles:[
{role:'clusterAdmin',db:'admin'},
{role:'userAdminAnyDatabase',db:'admin'}
]})
创建用户
use appdb
db.createUser({user:'appuser',pwd:'appuser@2016'})
授予权限
use appdb
db.grantRolesToUser("appuser", [{role:'readWrite',db:'appdb'}])
删除权限
use appdb
db.revokeRolesFromUser("appuser",[{ role: "read", db: "appdb" }])
六、常见问题 shell 操作提示错误
use appdb
MongoDB Enterprise > db.stats()
{
"ok" : 0,
"errmsg" : "not authorized on appdb to execute command { dbstats: 1.0, scale: undefined }",
"code" : 13
}
原因：当前连接未鉴权或用户没有操作权限 解决：为用户分配适当权限，并执行auth操作，如下：
db.auth('appuser','yourpassword');
无法执行 eval 操作 db.eval() 是一个全局操作，可执行任意数据库脚本； 执行该命令需要拥有anyAction或anyResource的权限，通常不建议为数据库用户赋予这样的权限。 该命令存在安全风险，已不建议使用(mongodb 3.0之后已经过期)。 总结 以上就是这篇文章的全部内容了，本文还有许多不足，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对极客世界的支持。 扩展阅读 Mongodb 鉴权机制 https://docs.mongodb.com/manual/core/authentication/ Mongodb 内置角色介绍 https://docs.mongodb.com/manual/reference/built-in-roles/#database-user-roles Mongodb 权限操作介绍 https://docs.mongodb.com/manual/reference/privilege-actions/#security-user-actions 运维-Mongodb鉴权介绍 http://www.ywnds.com/?p=5635 |
请发表评论