mongodb在centos上的权限如何管理

MongoDB在CentOS上的权限管理指南

1. 前置准备：安装与启动MongoDB

在配置权限前，需确保MongoDB已正确安装在CentOS系统上。若未安装，可通过官方YUM仓库或手动安装包完成部署。安装完成后，启动MongoDB服务并设置开机自启：

sudo systemctl start mongod
sudo systemctl enable mongod

2. 启用访问控制（核心前提）

权限管理的核心是启用MongoDB的身份验证机制，需修改配置文件/etc/mongod.conf：

找到security段落，添加或修改以下配置：
```
security:
  authorization: enabled
```
保存文件后，重启MongoDB服务使配置生效：
```
sudo systemctl restart mongod
```

启用后，所有连接MongoDB的操作均需通过身份验证。

3. 创建管理员账户（管理权限基础）

为便于后续管理其他用户及数据库权限，需先在admin数据库创建一个管理员账户（推荐使用root角色，拥有最高权限）：

连接到MongoDB Shell：
```
mongo
```

切换至admin数据库，创建管理员用户（将your_password替换为强密码）：

use admin
db.createUser({
  user: "admin",
  pwd: "your_password",
  roles: ["root"]  // root角色拥有所有数据库的管理权限
})

退出Shell：
```
exit
```

4. 创建普通用户并分配角色（最小权限原则）

根据业务需求为不同数据库创建用户，并分配最小必要权限（避免过度授权）。常见角色及用途：

read：仅读取指定数据库的数据；
readWrite：读取+写入指定数据库；
dbAdmin：管理指定数据库的索引、集合等（无数据读写权限）；
userAdmin：管理指定数据库的用户及角色；
dbOwner：指定数据库的完全控制权（包含readWrite、dbAdmin、userAdmin权限）。

示例1：创建读写用户（针对mydb数据库，用户mydbuser）：

mongo -u admin -p your_password --authenticationDatabase admin  # 用管理员账户连接
use mydb
db.createUser({
  user: "mydbuser",
  pwd: "strong_password",
  roles: ["readWrite", "dbAdmin"]  // 读写+数据库管理权限
})

示例2：创建只读用户（针对reportdb数据库，用户reportuser）：

use reportdb
db.createUser({
  user: "reportuser",
  pwd: "readonly_password",
  roles: ["read"]  // 仅读取权限
})

5. 用户权限管理操作（增删改查）

查看用户信息：

use admin  # 管理员账户需切换至admin数据库
db.getUser("mydbuser")  # 查看指定用户的角色及权限

修改用户密码：

use mydb
db.changeUserPassword("mydbuser", "new_password")  # 替换为新密码

为用户添加角色（扩展权限）：

db.grantRolesToUser("mydbuser", ["readWrite", "dbAdmin", "userAdmin"])  # 添加多个角色

从用户撤销角色（收缩权限）：

db.revokeRolesFromUser("mydbuser", ["userAdmin"])  # 撤销userAdmin角色

删除用户：

db.dropUser("mydbuser")  # 删除指定用户

6. 验证权限有效性

使用创建的普通用户连接MongoDB，尝试执行对应操作，确认权限是否符合预期：

读写用户测试：

mongo -u mydbuser -p strong_password --authenticationDatabase mydb
use mydb
db.test.insert({name: "test"})  # 应成功（readWrite权限）
db.test.find()                  # 应成功（read权限）

只读用户测试：

mongo -u reportuser -p readonly_password --authenticationDatabase reportdb
use reportdb
db.test.insert({name: "test"})  # 应失败（无write权限）
db.test.find()                  # 应成功（read权限）

7. 安全增强建议

使用强密码：避免使用简单密码，建议包含大小写字母、数字和特殊字符；
限制网络访问：通过防火墙（如firewalld）限制MongoDB端口（默认27017）的访问范围，仅允许可信IP连接；
启用SSL/TLS：加密MongoDB客户端与服务器之间的通信，防止数据泄露；
定期审计：通过db.runCommand({connectionStatus: 1})查看当前连接的用户及权限，定期审查用户权限设置。

通过以上步骤，可实现CentOS上MongoDB的精细化权限管理，确保数据库的安全性与合规性。