使用 SCRAM 在自托管部署上验证客户端

启动不带访问控制的 MongoDB

启动不带访问控制的独立 mongod 实例。

打开终端，并以 mongod 用户运行以下命令

mongod --port 27017 --dbpath /var/lib/mongodb

本教程中的 mongod 实例使用端口 27017 和 /var/lib/mongodb 数据目录。

本教程假设存在 /var/lib/mongodb 目录，并且它是默认的 dbPath。根据需要，您可以指定不同的数据目录或端口号。

连接到实例

打开一个新终端，并使用以下命令连接到集群：mongosh:

mongosh --port 27017

如果您正在连接到不同的部署，需要指定额外的命令行选项，例如 --host，以连接到所需的服务器。

创建用户管理员

使用 mongosh

1. 切换到 admin 数据库

2. 添加具有 userAdminAnyDatabase 和 readWriteAnyDatabase 角色的 myUserAdmin 用户"

use admin
db.createUser(
  {
    user: "myUserAdmin",
    pwd: passwordPrompt(), // or cleartext password
    roles: [
      { role: "userAdminAnyDatabase", db: "admin" },
      { role: "readWriteAnyDatabase", db: "admin" }
    ]
  }
)

角色 userAdminAnyDatabase 允许此用户执行以下操作：

• 创建用户

• 授予或撤销用户角色

• 创建或修改自定义角色

您可以根据需要为您的用户分配额外的 内置角色 或 用户自定义角色。

您创建用户的数据库，在这个例子中是 admin，是用户的 认证数据库。尽管用户需要对此数据库进行认证，但用户可以在其他数据库中拥有角色。用户的认证数据库不会限制用户的权限。

使用访问控制重新启动 MongoDB 实例

关闭 mongod 实例。使用 mongosh，执行以下命令

db.adminCommand( { shutdown: 1 } )

退出 mongosh.

启用访问控制启动 mongod

• 如果您从命令行启动 mongod，请添加 --auth 命令行选项

  mongod --auth --port 27017 --dbpath /var/lib/mongodb

• 如果您使用配置文件启动 mongod，请添加配置文件设置 security.authorization

  security:
      authorization: enabled

连接到此实例的客户端必须进行认证，并且只能执行其分配的角色所确定的操作。

以用户管理员身份连接和认证

使用mongosh，您可以

mongosh --port 27017  --authenticationDatabase \
    "admin" -u "myUserAdmin" -p

mongosh --port 27017

use admin
db.auth("myUserAdmin", passwordPrompt()) // or cleartext password