mongod 关键字参数：--auth
默认值是不需要验证，即 --noauth，该参数启用用户访问权限控制；当mongod 使用该参数启动时，MongoDB会验证客户端连接的账户和密码，以确定其是否有访问的权限。如果认证不通过，那么客户端不能访问MongoDB的数据库。
这个参数我们可以写在配置文件中，表示每次启动服务都打开auth认证，在这里我们是加在了mongod的启动指令中，如下所示
[root@:vg_adn_tidbCkhsTest /usr/local/mongodb]#bin/mongo -u "admin" -p "123456" --authenticationDatabase "admin" MongoDB shell version v3.4.18 connecting to: mongodb://127.0.0.1:27017 MongoDB server version: 3.4.18 > db test
这里的“admin”数据库是我们在安装mongo的时候就已经创建的，并且在数据库中创建了admin用户，且拥有“userAdminAnyDatabase”角色
下面讲解基于角色的访问控制
角色是授予User在指定资源上执行指定操作的权限，MongoDB官方手册对角色的定义是：
A role grants privileges to perform the specified actions on resource.
MongoDB为了方便管理员管理权限，在DB级别上预先定义了内置角色；如果用户需要对权限进行更为细致的管理，MongoDB允许用户创建自定义的角色，能够在集合级别上控制User能够执行的操作。
MongoDB使用角色（Role）授予User访问资源的权限，Role决定User能够访问的数据库资源和执行的操作。一个User能够被授予一个或多个Role，如果User没有被授予Role，那么就没有访问MongoDB系统的权限。
A user is granted one or more roles that determine the user’s access to database resources and operations. Outside of role assignments, the user has no access to the system.
1，内置角色（Built-In Roles）
内置角色是MongoDB预定义的角色，操作的资源是在DB级别上。MongoDB拥有一个SuperUser的角色：root，拥有最大权限，能够在系统的所有资源上执行任意操作。
数据库用户角色（Database User Roles）：
- read：授予User只读数据的权限
- readWrite：授予User读写数据的权限
数据库管理角色（Database Administration Roles）：
- dbAdmin：在当前dB中执行管理操作
- dbOwner：在当前DB中执行任意操作
- userAdmin：在当前DB中管理User
备份和还原角色（Backup and Restoration Roles）：
- backup
- restore
跨库角色（All-Database Roles）：
- readAnyDatabase：授予在所有数据库上读取数据的权限
- readWriteAnyDatabase：授予在所有数据库上读写数据的权限
- userAdminAnyDatabase：授予在所有数据库上管理User的权限
- dbAdminAnyDatabase：授予管理所有数据库的权限
现在我们举例子介绍一下
上面我们已经创建好了admin用户，该用户拥有有grant权限，我们创建的admin用户是在admin数据库中创建的。即：账号管理的授权权限。注意一点，帐号是跟着库走的，所以在指定库里授权，必须也在指定库里验证(auth)。
由于我们的admin用户建立了 userAdminAnyDatabase 角色，用来管理用户，可以通过这个角色来创建、删除用户。验证：需要开启auth参数
[root@:vg_adn_tidbCkhsTest:23.22.172.65:172.31.22.29 /usr/local/mongodb]#bin/mongo -u "admin" -p "123456" --authenticationDatabase "admin" MongoDB shell version v3.4.18 connecting to: mongodb://127.0.0.1:27017 MongoDB server version: 3.4.18 > db test > use admin switched to db admin > db admin > show users; { "_id" : "admin.admin", "user" : "admin", "db" : "admin", "roles" : [ { "role" : "dbOwner", "db" : "test" }, { "role" : "userAdminAnyDatabase", "db" : "admin" } ] } > show dbs; admin 0.000GB local 0.000GB test 0.000GB test1 0.000GB
我们连接上去admin用户之后，在admin数据库中就有了权限，注意admin用户拥有的角色是userAdminAnyDatabase。所以才可以创建用户等等操作
> use test2 #在test2库中创建账号 switched to db test2 > db.createUser( ... { ... user:"test", ... pwd:"test", ... roles:[{role:"readWrite",db:"test2"}] ... } ... ) Successfully added user: { "user" : "test", "roles" : [ { "role" : "readWrite", "db" : "test2" } ] } > show users; { "_id" : "test2.test", "user" : "test", "db" : "test2", "roles" : [ { "role" : "readWrite", "db" : "test2" } ] }
现在我们开始验证一下：
> use test2 switched to db test2> db test2 > db.abc.insert({"name":"chaofeng","id":1}) WriteResult({ "writeError" : { "code" : 13, "errmsg" : "not authorized on test2 to execute command { insert: "abc", documents: [ { _id: ObjectId('5bea73410816d4c446c6c0d1'), name: "chaofeng", id: 1.0 } ], ordered: true }" } })
因为我目前还是admin登录的，所以在test2数据库中，admin用户没有权限，只有我们刚刚建立的“test”用户才有权限。
注意：admin用户只是拥有了创建用户，删除用户的角色，这并不是最高权限。
所以现在我想在test2数据库下插入数据，我得使用test用户才行。
这里还要注意一点：
1、我在admin数据库中认证test用户
> db.auth("test","test") Error: Authentication failed. 0 > db admin
我在admin数据库中使用test用户认，来让test用户可以访问test2数据库，是失败的。记住一点：在admin下创建的账户，不能直接在admin库上验证。
2、我在test2数据库中认证test用户
> db.auth("test","test") 1 > db test2
这样就成功了，记住一点：在哪个库上创建的账户，就在那里认证，也说明了一点，数据库账户是跟着数据库走的，先有数据库，然后才有账户去认证这个数据库，从而有权限操作。
现在我们的test用户已经可以登录到test2数据库中操作了，我们尝试一下
> use test2 switched to db test2> db.abc.insert({"name":"chaofeng","id":1}) WriteResult({ "nInserted" : 1 }) > db.abc.find() { "_id" : ObjectId("5bea76f00816d4c446c6c0d2"), "name" : "chaofeng", "id" : 1 } >
最后我们再看一下数据库中创建的所有账户
> use admin switched to db admin> db.system.users.find().pretty() { "_id" : "admin.admin", "user" : "admin", "db" : "admin", "credentials" : { "SCRAM-SHA-1" : { "iterationCount" : 10000, "salt" : "2VmpmkRbVjolDoXjzbjHTw==", "storedKey" : "/Rd7OGTHEsGhsK8ZsFGe8DOzHTk=", "serverKey" : "8+JA2FBdUVtvo3AZNNDSvREZpOg=" } }, "roles" : [ { "role" : "dbOwner", "db" : "test" }, { "role" : "userAdminAnyDatabase", "db" : "admin" } ] } { "_id" : "test1.ccf", "user" : "ccf", "db" : "test1", "credentials" : { "SCRAM-SHA-1" : { "iterationCount" : 10000, "salt" : "cqPSk8h1ucAnJEl3mjx8MQ==", "storedKey" : "kNNTRqVv63fVy0r1KH9Oem0iKNo=", "serverKey" : "yTO6i7IIu7wuTEfd+VJG/l59veM=" } }, "roles" : [ { "role" : "readWrite", "db" : "test1" } ] } { "_id" : "test2.test", "user" : "test", "db" : "test2", "credentials" : { "SCRAM-SHA-1" : { "iterationCount" : 10000, "salt" : "0K+o35PrySZbdTq0kl79vg==", "storedKey" : "z3Z8dDswfQsnJ98qpUG8qChIafQ=", "serverKey" : "b6kLZoYhZwgxXmSNLpVIqyr6AyE=" } }, "roles" : [ { "role" : "readWrite", "db" : "test2" } ] }
查看所有的用户我们必须在admin数据库下，在其他的数据中是查看不到的。比如
> use test2 switched to db test2 > db.system.users.find().pretty()
同样的查看数据库用户的指令，在test2数据库中就不起作用，什么也查不出来。
同样的道理，当我们登录到mongo的时候，想要进入到admin库中查看所有用户的操作也是需要验证的，比如：
[root@:vg_adn_tidbCkhsTest /usr/local/mongodb]#bin/mongo MongoDB shell version v3.4.18 connecting to: mongodb://127.0.0.1:27017 MongoDB server version: 3.4.18 > db test > use test2 switched to db test2 > use admin switched to db admin > db.system.users.find().pretty() Error: error: { "ok" : 0, "errmsg" : "not authorized on admin to execute command { find: "system.users", filter: {} }", "code" : 13, "codeName" : "Unauthorized" } >
紧接着这里我们还没有在test2库中认证账户密码，还能访问数据库吗？
> use test2 switched to db test2 > show dbs #发现连数据库都查看不了 2018-11-13T07:09:19.437+0000 E QUERY [thread1] Error: listDatabases failed:{ "ok" : 0, "errmsg" : "not authorized on admin to execute command { listDatabases: 1.0 }", "code" : 13, "codeName" : "Unauthorized" } : _getErrorWithCode@src/mongo/shell/utils.js:25:13 Mongo.prototype.getDBs@src/mongo/shell/mongo.js:62:1 shellHelper.show@src/mongo/shell/utils.js:814:19 shellHelper@src/mongo/shell/utils.js:704:15 @(shellhelp2):1:1 > db.abc.find() #test2数据库的记录也查看不了 Error: error: { "ok" : 0, "errmsg" : "not authorized on test2 to execute command { find: "abc", filter: {} }", "code" : 13, "codeName" : "Unauthorized" } > db.auth("test","test"); #开启认证账户 1 > db.abc.find() #成功 { "_id" : ObjectId("5bea76f00816d4c446c6c0d2"), "name" : "chaofeng", "id" : 1 } >
总结：mongo数据库和别的数据库认证过程是不一样的，我们无需退出客户端便可以自动切换用户，来实现对不同数据库的操作。mongo中，在哪个数据库下创建的用户，就在哪个数据库下开启认证，也就是说，在A数据库创建的用户user1，只能在数据库A下面开启认证，在B数据库下面认证user1是不能成功的，在B数据库下只能认证user2数据库。数据库账户是跟着数据库走的。
现在我想删除数据库，
> use test2 switched to db test2 > show dbs admin 0.000GB local 0.000GB test1 0.000GB test2 0.000GB > db.auth("test","test"); 1 > db.abc.find() { "_id" : ObjectId("5bea76f00816d4c446c6c0d2"), "name" : "chaofeng", "id" : 1 } { "_id" : ObjectId("5bea7b4f6aeeebc0eb076f44"), "name" : "chen", "id" : 2 } > db.dropDatabase(); { "ok" : 0, "errmsg" : "not authorized on test2 to execute command { dropDatabase: 1.0 }", "code" : 13, "codeName" : "Unauthorized" }
发现是不能删除数据库的，仔细一想就知道test用户只有对当前test2数据库读写操作，但是没有删除权限。
我们再对test2数据库创建一个用户，使其拥有管理权限
> db test2 > db.createUser( ... { ... user:"gl", ... pwd:"gl", ... roles:[{role:"dbOwner",db:"test2"}] ... } ... ) Successfully added user: { "user" : "gl", "roles" : [ { "role" : "dbOwner", "db" : "test2" } ] }> db.auth("gl","gl") 1 > db.dropDatabase() { "dropped" : "test2", "ok" : 1 }
现在我们创建的gl用户拥有dbOwner角色，也就是对当前数据库拥有最高管理权限，这个时候就可以删除数据库test2了。