Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

基于角色的访问控制限制数据库访问

您可以使用以下方式限制对用户可对数据库执行的操作的访问基于角色的访问控制Amazon DocumentDB 中的（RBAC）（与 MongoDB 兼容）。RBAC 的原理是向用户授予一个或多个角色。这些角色决定了用户可以对数据库资源执行的操作。Amazon DocumentDB 目前支持数据库级别范围内的两个内置角色，例如：read、readWrite、readAnyDatabase、clusterAdmin，以及用户定义的角色，这些角色可以限定为特定操作以及基于您的要求的精细资源（例如集合）。

RBAC 的常见使用案例包括通过创建对集群中数据库或集合具有只读访问权限的用户来强制执行最低权限，以及允许单个用户访问集群中给定数据库或集合的多租户应用程序设计。

RBAC 概念

以下是与基于角色的访问控制相关的重要术语和概念。有关 Amazon DocumentDB 用户的更多信息，请参阅Amazon DocumentDB 用户.

以下命令创建名为 sample-user 的用户。

db.createUser({user: "sample-user", pwd: "abc123", roles: [{role: "read", db: "sample-database"}]})

在此示例中：

以下示例显示您为用户 sample-user 指定 db.getUser(sample-user) 后的输出。在此示例中，用户 sample-user 驻留在 admin 数据库中，但具有 sample-database 数据库的读取角色。

创建用户时，如果省略db在字段中，Amazon DocumentDB 会隐式地将该角色归属于发出连接的数据库。例如，如果您的连接是针对数据库 sample-database 发出的，并且您运行以下命令，则用户 sample-user 将在 admin 数据库中创建并具有对数据库 sample-database 的 readWrite 权限。

db.createUser({user: "sample-user", pwd: "abc123", roles: ["readWrite"]})

此操作的输出将类似于下文。

{
   "user":"sample-user",
   "roles":[
      {
         "db":"sample-database",
         "role":"readWrite"
      }
   ]
}

创建具有跨所有数据库范围的角色的用户（例如，readAnyDatabase）需要在创建用户时处于 admin 数据库的上下文，或者在创建用户时明确指定角色的数据库。要针对 admin 数据库发出命令，可以使用命令 use admin。有关更多信息，请参阅常见命令。

RBAC 内置角色入门

为帮助您掌握基于角色的访问控制，本部分将向您介绍通过为三个用户创建具有不同职能的角色来强制执行最低权限的示例方案。

在这之后，user1 和 user2 都离开了公司，所以必须撤销他们的访问权限。

要创建用户和授予角色，进入集群用于进行身份验证的用户必须具有可以为 createUser 和 grantRole 执行操作的关联角色。例如，角色 admin 和 userAdminAnyDatabase 都可以授予执行上述功能的权限。有关每个角色的操作，请参阅基于角色的访问控制限制数据库访问。

首先，要了解集群中的当前用户和角色，可以运行 show users 命令，如以下示例所示。您将看到两个用户，即集群的 serviceadmin 和主用户。这两个用户始终存在，无法将它们删除。有关更多信息，请参阅Amazon DocumentDB 用户。

show users

对于 user1，使用以下命令创建具有对整个集群中所有数据库的读写访问权限的角色。

db.createUser({user: "user1", pwd: "abc123", roles: [{role: "readWriteAnyDatabase", db: "admin"}]})

此操作的输出将类似于下文。

{
   "user":"user1",
   "roles":[
      {
         "role":"readWriteAnyDatabase",
         "db":"admin"
      }
   ]
}

对于 user2，使用以下命令创建对数据库 sample-database-1 具有只读访问权限的角色。

db.createUser({user: "user2", pwd: "abc123", roles: [{role: "read", db: "sample-database-1"}]})

此操作的输出将类似于下文。

{
   "user":"user2",
   "roles":[
      {
         "role":"read",
         "db":"sample-database-1"
      }
   ]
}

要模拟 user3 是现有用户的方案，请先创建用户 user3，然后将新角色分配给 user3。

db.createUser({user: "user3", pwd: "abc123", roles: [{role: "readWrite", db: "sample-database-1"}]})

此操作的输出将类似于下文。

{
   "user":"user3",
   "roles":[
      {
         "role":"readWrite",
         "db":"sample-database-1"
      }
   ]
}

现在已创建了用户 user3，请为 user3 分配可对 sample-database-2 进行 read 的角色。

db.grantRolesToUser("user3", [{role: "read", db: "sample-database-2"}])

最后，user1 和 user2 都离开了公司，需要撤销他们对集群的访问权限。您可以通过删除用户来执行此操作，如下所示。

db.dropUser("user1")
db.dropUser("user2")

要确保所有用户都具有适当角色，可使用以下命令列出所有用户。

show users

此操作的输出将类似于下文。

{
   "_id":"serviceadmin",
   "user":"serviceadmin",
   "db":"admin",
   "roles":[
      {
         "db":"admin",
         "role":"root"
      }
   ]
}
{
   "_id":"master-user",
   "user":"master-user",
   "db":"admin",
   "roles":[
      {
         "db":"admin",
         "role":"root"
      }
   ]
}
{
   "_id":"user3",
   "user":"user3",
   "db":"admin",
   "roles":[
      {
         "db":"sample-database-2",
         "role":"read"
      },
      {
         "db":"sample-database-1",
         "role":"readWrite"
      }
   ]
}

RBAC 用户定义的角色入门

为帮助您掌握用户定义的角色，本部分将向您介绍通过为三个用户创建具有不同职能的角色来强制执行最低权限的示例方案。

在此示例中，以下条件适用：

db.createUser(
	{
	    user: "user1", pwd: "abc123", 
	    roles: [{role: "readWriteAnyDatabase", db: "admin"}]
	}
	)

此操作的输出将类似于下文。

{
   "user":"user1",
   "roles":[
      {
         "role":"readWriteAnyDatabase",
         "db":"admin"
      }
   ]
}

适用于user2，创建一个对数据库中所有集合具有 “查找” 权限的角色sample-database-1使用以下命令。请注意，此角色将确保所有关联的用户只能运行查找查询。

db.createRole(
{
    role: "findRole",
    privileges: [
    {
        resource: {db: "sample-database-1", collection: ""}, actions: ["find"]
    }],
    roles: []
}
)

此操作的输出将类似于下文。

{
   "role":"findRole",
   "privileges":[
      {
         "resource":{
            "db":"sample-database-1",
            "collection":""
         },
         "actions":[
            "find"
         ]
      }
   ],
   "roles":[
      
   ]
}

下一步，创建用户（user2) 并附加最近创建的角色findRole给用户。

db.createUser(
{
    user: "user2", 
    pwd: "abc123", 
    roles: []
})

	db.grantRolesToUser("user2",["findRole"])

为了模拟那个场景user3是现有用户，首先创建用户user3，然后创建一个名为 CollectionRole 的新角色，我们将在下一步中分配给该角色user3.

现在你可以将新角色分配给user3. 这个新角色将允许user3以便能够在中插入、更新、删除和查找对一个特定集合的访问权限 col2sample-database-2.

db.createUser(
{
    user: "user3", 
    pwd: "abc123", 
    roles: []
})

db.createRole(
{
    role: "collectionRole",
    privileges: [
    {
        resource: {db: "sample-database-2", collection: "col2"}, actions: ["find", "update", "insert", "remove"]
    }],
    roles: []
}
)

此操作的输出将类似于下文。

{
   "role":"collectionRole",
   "privileges":[
      {
         "resource":{
            "db":"sample-database-2",
            "collection":"col2"
         },
         "actions":[
            "find",
            "update",
            "insert",
            "remove"
         ]
      }
   ],
   "roles":[
      
   ]
}

现在用户user3已创建，您可以授予user3角色collectionFind.

db.grantRolesToUser("user3",["collectionRole"])

最后，user1 和 user2 都离开了公司，需要撤销他们对集群的访问权限。您可以通过删除用户来执行此操作，如下所示。

db.dropUser("user1")
db.dropUser("user2")

要确保所有用户都具有适当角色，可使用以下命令列出所有用户。

show users

此操作的输出将类似于下文。

{
   "_id":"serviceadmin",
   "user":"serviceadmin",
   "db":"admin",
   "roles":[
      {
         "db":"admin",
         "role":"root"
      }
   ]
}
{
   "_id":"master-user",
   "user":"master-user",
   "db":"admin",
   "roles":[
      {
         "db":"admin",
         "role":"root"
      }
   ]
}
{
   "_id":"user3",
   "user":"user3",
   "db":"admin",
   "roles":[
      {
         "db":"admin",
         "role":"collectionRole"
      }
   ]
}

以用户身份连接到 Amazon DocumentDB

在连接到 Amazon DocumentDB 集群时，需要在特定数据库的上下文中进行连接。默认情况下，如果未在连接字符串中指定数据库，则会在 test 数据库上下文中自动连接到集群。所有集合级别命令（如 insert 和 find）都是针对 test 数据库中的集合发出的。

要查看您所在上下文或者换句话说对其发出命令的数据库，请使用db命令在 mongo shell 中执行，如下所示。

查询：

db

输出：

test

尽管默认连接可能位于 test 数据库的上下文中，但这并不一定意味着与连接关联的用户有权对 test 数据库执行操作。在上述示例方案中，如果您用于进行身份验证的用户 user3 是具有对 sample-database-1 数据库的 readWrite 权限的角色，则连接的默认上下文是 test 数据库。但是，如果您尝试将文档插入 test 数据库中的集合中，您将收到 Authorization failure (授权失败) 错误消息。这是因为该用户未获得对该数据库执行该命令的授权，如下所示。

查询：

db

输出：

test

查询：

db.col.insert({x:1})

输出：

WriteCommandError({ "ok" : 0, "code" : 13, "errmsg" : "Authorization failure" })

如果您将连接上下文更改为 sample-database-1 数据库，则可以写入到集合中，因为该用户具有执行此操作的授权。

查询：

use sample-database-1

输出：

switched to db sample-database-1

查询：

db.col.insert({x:1})

输出：

WriteResult({ "nInserted" : 1})

使用特定用户对集群进行身份验证时，还可以在连接字符串中指定数据库。如果这样做，则用户在通过 admin 数据库的身份验证后，不再需要执行 use 命令。

以下连接字符串根据 admin 数据库对用户进行身份验证，但连接上下文则是 sample-database-1 数据库。

mongo "mongodb://user3:abc123@sample-cluster.node.us-east-1.docdb.amazonaws.com:27017/sample-database-2"

常见命令

本部分提供在 Amazon DocumentDB 中使用基于角色的访问控制的常见命令示例。您必须位于 admin 数据库的上下文中，才能创建和修改用户和角色。您可以使用 use admin 命令切换到 admin 数据库。

示例 1：使用创建用户read数据库的角色foo.

db.createUser({user: "readInFooBar", pwd: "abc123", roles: [{role: "read", db: "foo"}]})

此操作的输出将类似于下文。

{
   "user":"readInFooBar",
   "roles":[
      {
         "role":"read",
         "db":"foo"
      }
   ]
}

示例 2：创建具有所有数据库的读取访问权限的用户。

db.createUser({user: "readAllDBs", pwd: "abc123", roles: [{role: "readAnyDatabase", db: "admin"}]})

此操作的输出将类似于下文。

{
   "user":"readAllDBs",
   "roles":[
      {
         "role":"readAnyDatabase",
         "db":"admin"
      }
   ]
}

示例 3：Grantread角色到新数据库中现有用户。

db.grantRolesToUser("readInFooBar", [{role: "read", db: "bar"}])

示例 4：更新用户的角色。

db.updateUser("readInFooBar", {roles: [{role: "read", db: "foo"}, {role: "read", db: "baz"}]})

示例 5：撤销用户对数据库的访问权限。

db.revokeRolesFromUser("readInFooBar", [{role: "read", db: "baz"}])

示例 6：描述内置角色。

db.getRole("read", {showPrivileges:true})

此操作的输出将类似于下文。

{
   "role":"read",
   "db":"sample-database-1",
   "isBuiltin":true,
   "roles":[
      
   ],
   "inheritedRoles":[
      
   ],
   "privileges":[
      {
         "resource":{
            "db":"sample-database-1",
            "collection":""
         },
         "actions":[
            "changeStream",
            "collStats",
            "dbStats",
            "find",
            "killCursors",
            "listCollections",
            "listIndexes"
         ]
      }
   ],
   "inheritedPrivileges":[
      {
         "resource":{
            "db":"sample-database-1",
            "collection":""
         },
         "actions":[
            "changeStream",
            "collStats",
            "dbStats",
            "find",
            "killCursors",
            "listCollections",
            "listIndexes"
         ]
      }
   }

示例 7 示例：从集群中删除用户。

db.dropUser("readInFooBar")

此操作的输出将类似于下文。

true

示例 8：创建具有特定集合的读写访问权限的角色

db.createRole(
{
    role: "collectionRole",
    privileges: [
    {
        resource: {db: "sample-database-2", collection: "col2"}, actions: ["find", "update", "insert", "remove"]
    }],
    roles: []
}
)

此操作的输出将类似于下文。

{
   "role":"collectionRole",
   "privileges":[
      {
         "resource":{
            "db":"sample-database-2",
            "collection":"col2"
         },
         "actions":[
            "find",
            "update",
            "insert",
            "remove"
         ]
      }
   ],
   "roles":[
      
   ]
}

示例 9.：创建用户并分配用户定义的角色

db.createUser(
{
    user: "user3", 
    pwd: "abc123", 
    roles: []
})

db.grantRolesToUser("user3",["collectionRole"])

示例 10.：向用户定义的角色授予额外权限

db.grantPrivilegesToRole(
  "collectionRole",
  [
    {
      resource: { db: "sample-database-1", collection: "col1" },
      actions: ["find", "update", "insert", "remove"]
    }
  ]
)

示例 11 示例：从用户定义的角色中删除权限

db.revokePrivilegesFromRole(
  "collectionRole",
  [
    {
      resource: { db: "sample-database-1", collection: "col2" },
      actions: ["find", "update", "insert", "remove"]
    }
  ]
)

示例 12.：更新现有用户定义的角色

db.updateRole(
  "collectionRole",
  {
    privileges: [
    {
        resource: {db: "sample-database-3", collection: "sample-collection-3"}, actions: ["find", "update", "insert", "remove"]
    }],
    roles: []
  }
)

功能差异

在 Amazon DocumentDB 中，用户和角色定义存储在admin数据库和用户将根据admin数据库。此功能与 MongoDB 社区版不同，但与 MongoDB Atlas 一致。

Amazon DocumentDB 还支持变更流，该功能提供按时间顺序排列的更改事件，这些事件在您的集群集合内发生。这些区域有：listChangeStreams操作在集群级别（即跨所有数据库）应用，而modifyChangeStreams操作可以在数据库级别和群集级别应用。

限制

下表包含 Amazon DocumentDB 中基于角色的访问控制的限制。

基于角色的访问控制限制数据库访问

借助基于角色的访问控制，您可以创建一个用户并向其授予一个或多个角色，以确定该用户可以在数据库或集群中执行哪些操作。

以下是 Amazon DocumentDB 中目前支持的内置角色的列表。