MongoDB atļauju lomu tabula

MongoDB piešķir piekļuvi datiem un komandām, izmantojot lomu autorizāciju, un nodrošina iebūvētas lomas, kas nodrošina dažādus piekļuves līmeņus, kas parasti nepieciešami datu bāzes sistēmā. Varat papildus izveidot lietotāja definētas lomas.

Loma piešķir atļaujas veikt darbību kopas ar definētiem resursiem. Noteikta loma attiecas uz datu bāzi, kurā tā ir definēta, un var piešķirt piekļuvi līdz pat kolekcijas detalizācijas līmenim.

Katra no MongoDB iebūvētajām lomām definē piekļuvi datu bāzes līmenī visām ne-sistēmas kolekcijām lomas datu bāzē un kolekcijas līmenī visām sistēmas kolekcijām.

MongoDB nodrošina iebūvētās datu bāzes lietotāju un datu bāzes administrēšanas lomas katrā datu bāzē. MongoDB nodrošina visas pārējās iebūvētās lomas tikai administratora datu bāzē.

Šajā sadaļā ir aprakstītas katras iebūvētās lomas privilēģijas. Varat arī jebkurā brīdī skatīt iebūvētās lomas privilēģijas, izdodot komandu rolesInfo ar iestatītiem laukiem showPrivileges un showBuiltinRoles.

Katrā datu bāzē ir šādas klientu lomas:

Nodrošina iespēju lasīt datus par visām kolekcijām, kas nav sistēmas, un par šādām sistēmu kolekcijām:system.indexes, system.js un system.namespaces kolekcijas. Šī loma nodrošina lasīšanas piekļuvi, piešķirot šādas darbības:

Nodrošina visas lasīšanas lomas privilēģijas, kā arī iespēju modificēt datus visās kolekcijās, kas nav sistēmas, un system.js kolekcijā. Šī loma nodrošina šādas darbības šajās kolekcijās:

Katrā datu bāzē ir šādas datu bāzes administrēšanas lomas:

Nodrošina šādas darbības datu bāzes kolekcijās system.indexes, system.namespaces un system.profile:

Mainīts versijā 2.6.4: dbAdmin pievienoja createCollection sistēmai.profilecollection. Iepriekšējās versijās dropCollection bija tikai kolekcijā system.profile.

Nodrošina tālāk norādītās darbības visās kolekcijās, kas nav sistēmas. Šī loma neietver pilnu lasīšanas piekļuvi kolekcijām, kas nav sistēmas:

Datu bāzes īpašnieks var veikt jebkuru administratīvo darbību ar datu bāzi. Šī loma apvieno privilēģijas, ko piešķir lomas readWrite, dbAdmin un userAdmin.

Nodrošina iespēju izveidot un modificēt lomas un lietotājus pašreizējā datu bāzē. Šī loma arī netieši nodrošina superlietotāja piekļuvi datu bāzei vai, ja tā ir administratora datu bāze, klasterim. TheuserAdmin loma ļauj lietotājiem piešķirt jebkuram lietotājam jebkādas privilēģijas, ieskaitot sevi.

Loma userAdmin skaidri nodrošina šādas darbības:

Administratora datu bāzē ir iekļautas šādas lomas visas sistēmas administrēšanai, nevis tikai vienai datu bāzei. Šīs lomas ietver, bet neaprobežojas ar repliku kopu un sadalītu klasteru administratīvajām funkcijām.

Nodrošina vislielāko klasteru pārvaldības piekļuvi. Šī loma apvieno privilēģijas, ko piešķir lomas clusterManager, clusterMonitor un hostManager. Turklāt loma nodrošinadropDatabase darbību.

Nodrošina klastera pārvaldības un uzraudzības darbības. Lietotājs ar šo lomu var piekļūt konfigurācijas un lokālajām datu bāzēm, kas tiek izmantotas attiecīgi sadalīšanai un replicēšanai.

Nodrošina šādas darbības klasterī kopumā:

Nodrošina šādas darbības visās klastera datu bāzēs:

Konfigurācijas datu bāzē iestatījumu kolekcijā tiek veiktas šādas darbības:

Konfigurācijas datu bāzē nodrošina šādas darbības visās konfigurācijas kolekcijās un system.indexes, system.js un system.namespaces kolekcijās:

Lokālajā datu bāzē nodrošina šādas darbības replset kolekcijā:

Nodrošina tikai lasīšanas piekļuvi uzraudzības rīkiem, piemēram, MongoDB Cloud Manager un Ops Manager uzraudzības aģentam.

Nodrošina šādas darbības klasterī kopumā:

Nodrošina šādas darbības visās klastera datu bāzēs:

Nodrošina atrašanas darbību visās klastera system.profile kolekcijās.

Nodrošina šādas darbības konfigurācijas datu bāzes konfigurācijas kolekcijās unsystem.indexes, system.js un system.namespaces kolekcijās:

Nodrošina iespēju uzraudzīt un pārvaldīt serverus.

Nodrošina šādas darbības klasterī kopumā:

Nodrošina šādas darbības visās klastera datu bāzēs:

Administratora datu bāzē ir šādas lomas datu dublēšanai un atjaunošanai:

Nodrošina minimālas privilēģijas, kas nepieciešamas datu dublēšanai. Šī loma nodrošina pietiekamas privilēģijas, lai izmantotMongoDB Cloud Manager dublējuma aģentu, Ops Manager dublējuma aģentu vai izmantotu mongodump, lai dublētu visu mongod instanci.

Nodrošina ievietošanas un atjaunināšanas darbības mms.backup kolekcijā administratora datu bāzē un iestatījumu kolekcijā konfigurācijas datu bāzē.

Nodrošina darbību listDatabases klasterī kopumā.

Nodrošina darbību listCollections visās datu bāzēs.

Nodrošina darbību listIndexes visām kolekcijām.

Nodrošina darbību bypassDocumentValidation kolekcijām, kurām ir dokumentu validācija.

Nodrošina atrašanas darbību šādos jautājumos:

Mainīts versijā 3.2.1: dublēšanas loma nodrošina papildu atļaujas, lai dublētu sistēmas.profila kolekcijas, kas pastāv, darbojoties ar datu bāzes profilēšanu. Iepriekš lietotājiem bija nepieciešama papildu lasīšanas piekļuve šai kolekcijai.

Nodrošina atļaujas, kas nepieciešamas, lai atjaunotu datus no dublējumiem, kuros nav iekļauti system.profilecollection dati. Šī loma ir pietiekama, atjaunojot datus ar mongorestore bez opcijas --oplogReplay.

Nodrošina šādas darbības visās klastera kolekcijās, kas nav sistēmas, un system.js kolekcijām; administratoru datu bāzes kolekcijās admin.system.users un admin.system.roles; un mantotajās system.users kolekcijās no MongoDB versijām pirms 2.6:

Nodrošina darbību listCollections visās datu bāzēs.

Nodrošina šādas papildu darbības admin.system.users un mantotajās system.userscollections:

Nodrošina atrašanas darbību visās klastera system.namespaces kolekcijās.

Lai gan atjaunošana ietver iespēju modificēt dokumentus admin.system.userscollection, izmantojot parastās modifikācijas darbības, modificējiet šos datus tikai, izmantojot lietotāju pārvaldību metodes.

Administratora datu bāze nodrošina šādas lomas, kas attiecas uz visām datu bāzēm mongod instancē un ir aptuveni līdzvērtīgas to vienas datu bāzes ekvivalentiem:

Nodrošina tādas pašas tikai lasīšanas atļaujas kā lasīšanai, izņemot gadījumus, kad tas attiecas uz visām klastera datu bāzēm. Šī loma nodrošina arī darbību listDatabases klasterī kopumā.

Nodrošina tādas pašas lasīšanas un rakstīšanas atļaujas kā readWrite, izņemot gadījumus, kad tas attiecas uz visām klastera datu bāzēm. Šī loma nodrošina arī darbību listDatabases klasterī kopumā.

Nodrošina tādu pašu piekļuvi lietotāju administrēšanas operācijām kā userAdmin, izņemot to, ka tas attiecas uz visām klastera datu bāzēm. Šī loma paredz arī šādas darbības attiecībā uz kopu kopumā:

Šī loma nodrošina arī tālāk norādītās darbības administratora datu bāzes kolekcijās admin.system.users un admin.system.roles un mantotajās system.userscollections no versijām MongoDB pirms 2.6:

Mainīts versijā 2.6.4: userAdminAnyDatabase pievienoja šādas atļaujas kolekcijām admin.system.users un admin.system.roles:

Loma userAdminAnyDatabase neierobežo atļaujas, ko lietotājs var piešķirt. Tā rezultātā userAdminAnyDatabase lietotāji var piešķirt sev privilēģijas, kas pārsniedz viņu pašreizējās privilēģijas, un pat var piešķirt sev visas privilēģijas, pat ja loma to nedara Skaidri autorizējiet privilēģijas, kas nav saistītas ar lietotāju administrēšanu. Šī loma faktiski ir MongoDB sistēmas superlietotājs.

Nodrošina tādu pašu piekļuvi datu bāzes administrēšanas operācijām kā dbAdmin, izņemot to, ka tas attiecas uz visām klastera datu bāzēm. Šī loma nodrošina arī darbību listDatabases klasterī kopumā.

Vairākas lomas nodrošina netiešu vai tiešu sistēmas mēroga superlietotāja piekļuvi.

Tālāk norādītās lomas nodrošina iespēju jebkuram lietotājam piešķirt jebkādas atļaujas jebkurā datu bāzē, kas nozīmē, ka lietotāji ar kādu no šīm lomām var piešķirt sev jebkuru privilēģiju jebkurā datu bāzē:

Tālāk norādītā loma nodrošina pilnas privilēģijas visiem resursiem:

Nodrošina piekļuvi operācijām un visiem resursiem readWriteAnyDatabase,dbAdminAnyDatabase, userAdminAnyDatabase, clusterAdmin lomas, atjaunot kopā.

Mainīts versijā 3.0.7: saknei ir apstiprināta darbība sistēmā. kolekcijas. Agrāk sakne neietver piekļuvi kolekcijām, kas sākas ar sistēmu. prefikss, kas nav system.indexes un system.namespaces.

Saknes loma ietver atjaunošanas lomas privilēģijas.

MongoDB piešķir šo lomu lietotāju objektiem, kas pārstāv klastera dalībniekus, piemēram, repliku kopas dalībniekiem un mongos instancēm. Šī loma dod tiesības tās turētājam veikt jebkādas darbības pret jebkuru datu bāzes objektu.

Nepiešķiriet šo lomu lietotāju objektiem, kas pārstāv lietojumprogrammas vai cilvēka administratorus, izņemot izņēmuma gadījumus.

Ja jums ir nepieciešama piekļuve visām darbībām visos resursos, piemēram, lai izpildītu applyOps komandas, nepiešķiriet šo lomu. Tā vietā izveidojiet lietotāja definētu lomu, kas piešķir anyAction anyResource un nodrošiniet, ka šī piekļuve ir tikai tiem lietotājiem, kuriem nepieciešama piekļuve šīm operācijām.

Oriģināls: https://docs.mongodb.com/manual/reference/built-in-roles/#built-in-roles