开启docker中的mongodb认证授权

前言：

开启MongoDB服务后，默认是没有权限验证的。直接通过IP加端口就可以远程访问数据库，并对数据库进行任意操作。下面介绍一下如何开启docker中MongoDB的权限认证。

安装完MongoDB服务后默认有一个admin数据库，此时admin数据库是空的，没有记录任何权限相关的信息。当admin.system.users一个用户都没有时，即使MongoDB启动时添加了--auth参数，如果没有在admin数据库中添加用户，此时不进行任何认证还是可以做任何操作(不管是否以--auth参数启动)，直到在admin.system.users中添加一个用户。因此要开启MongoDB的权限认证需要满足两点条件：

admin.system.users中添加用户
MongoDB以--auth启动

实践
进入相应的docker容器：

docker exec -it 容器ID /bin/bash

进入MongoDB交互式命令行并切换到admin数据库

mongo

use admin

MongoDB自带一个数据库叫admin，可以在这个数据库中创建管理员账号。

所有创建的用户都会存储在system.users集合中。

db.getCollectionNames()
// [ "system.users", "system.version" ]

创建管理员，赋予root权限

db.createUser({user:"admin",pwd:"xiiasdfiik34",roles:[{role: 'root', db: 'admin'}]})
/*
Successfully added user: {
"user" : "admin",
"roles" : [
{
"role" : "root",
"db" : "admin"
}
]
}
*/

认证当前用户管理员

db.auth('admin', 'xiiasdfiik34') // 返回1 就是认证成功

创建普通用户
切换到目标数据库：

use test_db

创建用户角色，并赋予读写权限

db.createUser({
user: 'test_user',
pwd: 'vfeqwerfd4334',
roles: [{role: 'readWrite', db: 'test_db'}]
})
/*
Successfully added user: {
"user" : "test_user",
"roles" : [
{
"role" : "readWrite",
"db" : "test_db"
}
]
}
*/

认证试试：

db.auth('test_user', 'vfeqwerfd4334')

注意：
用户只能在创建该用户时所在的数据库进行认证。认证成功后，就可以对该数据库执行权限范围内的操作。

修改MongoDB的docker-compose.yml，指定带认证启动

yikaoyan-mongodb:
image: mongo:latest
volumes:
- ./data/db:/data/db
ports:
- 27017:27017
command: [--auth] # 指定需要认证

重启MongoDB docker容器后，认证就生效了。

连接数据库时，指定用户和密码

mongodb_uri = 'mongodb://test_user:vfeqwerfd4334@localhost/test_db?authSource=test_db&authMechanism=SCRAM-SHA-1'

MongoDB连接URL可以参考：https://api.mongodb.com/python/current/examples/authentication.html

其他命令：

删除用户：db.dropUser('username')

MongoDB 目前内置了 7 个角色。

数据库用户角色：read、readWrite;
数据库管理角色：dbAdmin、dbOwner、userAdmin；
集群管理角色：clusterAdmin、clusterManager、clusterMonitor、hostManager；
备份恢复角色：backup、restore；
所有数据库角色：readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
超级用户角色：root；这里还有几个角色间接或直接提供了系统超级用户的访问（dbOwner 、userAdmin、userAdminAnyDatabase）
内部角色：__system
这些角色对应的作用如下：

Read：允许用户读取指定数据库
readWrite：允许用户读写指定数据库
dbAdmin：允许用户在指定数据库中执行管理函数，如索引创建、删除，查看统计或访问system.profile
userAdmin：允许用户向system.users集合写入，可以找指定数据库里创建、删除和管理用户
clusterAdmin：只在admin数据库中可用，赋予用户所有分片和复制集相关函数的管理权限。
readAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读权限
readWriteAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的读写权限
userAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的userAdmin权限
dbAdminAnyDatabase：只在admin数据库中可用，赋予用户所有数据库的dbAdmin权限。
root：只在admin数据库中可用。超级账号，超级权限

MongoDB连接URL可以参考：https://api.mongodb.com/python/current/examples/authentication.html

参考：https://blog.csdn.net/Ayhan_huang/article/details/89252169

https://blog.csdn.net/kwame211/article/details/96316498