在自管理 MongoDB 部署中使用 SCRAM 验证客户端

在未启用访问控制的情况下启动 MongoDB

启动一个未启用访问控制的独立 mongod 实例。

打开终端，以 mongod 用户身份执行以下命令：

mongod --port 27017 --dbpath /var/lib/mongodb

本教程中的 mongod 实例使用端口 27017 和 /var/lib/mongodb 数据目录。

教程假定 /var/lib/mongodb 目录已经存在，且是默认 dbPath。可以按需要指定其他数据目录或端口。

连接实例

打开新终端，使用 mongosh 连接部署：

mongosh --port 27017

如果连接其他部署，请根据需要添加 --host 等命令行选项。

创建用户管理员

在 mongosh 中：

1. 切换到 admin 数据库。

2. 添加 myUserAdmin 用户，并授予 userAdminAnyDatabase 和 readWriteAnyDatabase 角色：

use admin
db.createUser(
  {
    user: "myUserAdmin",
    pwd: passwordPrompt(), // or cleartext password
    roles: [
      { role: "userAdminAnyDatabase", db: "admin" },
      { role: "readWriteAnyDatabase", db: "admin" }
    ]
  }
)

userAdminAnyDatabase 角色允许用户：

• 创建用户。

• 授予或撤销用户的角色。

• 创建或修改自定义角色。

可以根据需要，为用户分配其他内置角色或自定义角色。

创建用户的数据库就是其身份验证数据库，本例为 admin。虽然用户需要向该数据库进行身份验证，但可以在其他数据库中拥有角色；身份验证数据库不会限制用户权限的作用范围。

启用访问控制并重新启动 MongoDB

关闭 mongod 实例。在 mongosh 中执行以下命令：

db.adminCommand( { shutdown: 1 } )

退出 mongosh。

以启用访问控制的方式启动 mongod。

• 如果从命令行启动 mongod，添加 --auth 选项：

  mongod --auth --port 27017 --dbpath /var/lib/mongodb

• 如果使用配置文件启动 mongod，添加 security.authorization 设置：

  security:
      authorization: enabled

此后，连接该实例的客户端必须进行身份验证，且只能执行所分配角色允许的操作。

以用户管理员身份连接并验证

使用 mongosh 时，可以选择以下方式：

mongosh --port 27017  --authenticationDatabase \
    "admin" -u "myUserAdmin" -p

mongosh --port 27017

use admin
db.auth("myUserAdmin", passwordPrompt()) // or cleartext password