db.createUser()

定義

db.createUser(user, writeConcern)

メソッドが実行されるデータベースに新しいユーザーを作成します。db.createUser()は、ユーザーがデータベースに既に存在する場合、重複ユーザーエラーを返します。

db.createUser()メソッドの構文は次のとおりです。

フィールド	タイプ	説明
user	ドキュメント	作成するユーザーに関する認証およびアクセス情報を含むドキュメントを参照してください。
writeConcern	ドキュメント	任意。 操作の書込み保証（ write concern ） のレベル。 詳しくは、 書込み保証（write concern） の仕様を参照してください。

user ドキュメントはユーザーを定義し、形式は以下のとおりです。

Tip

メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、 passwordPrompt()メソッドをさまざまなユーザー認証や管理のメソッドやコマンドと組み合わせて使用すると、パスワードの入力を求めることができます。 ただし、 mongo shell の以前のバージョンと同様にパスワードを直接指定することもできます。

{
  user: "<name>",
  pwd: passwordPrompt(),      // Or  "<cleartext password>"
  customData: { <any information> },
  roles: [
    { role: "<role>", db: "<database>" } | "<role>",
    ...
  ],
  authenticationRestrictions: [
     {
       clientSource: ["<IP>" | "<CIDR range>", ...],
       serverAddress: ["<IP>" | "<CIDR range>", ...]
     },
     ...
  ],
  mechanisms: [ "<SCRAM-SHA-1|SCRAM-SHA-256>", ... ],
  passwordDigestor: "<server|client>"
}

userドキュメントには、以下のフィールドがあります。

フィールド	タイプ	説明
user	string	新しいユーザーの名前。
pwd	string	ユーザーのパスワード。pwd db.createUser()$externalデータベースで を実行して、 MongoDBの外部に保存される認証情報を持つユーザーを作成する場合、 フィールドは必要ありません。 値は以下のいずれかになります。 クリアテキスト文字列のユーザーのパスワード passwordPrompt() で、ユーザーのパスワードの入力を求める メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、 passwordPrompt()メソッドをさまざまなユーザー認証や管理のメソッドやコマンドと組み合わせて使用すると、パスワードの入力を求めることができます。 ただし、 mongo shell の以前のバージョンと同様にパスワードを直接指定することもできます。
customData	ドキュメント	任意。任意の情報が含まれます。このフィールドは、データ管理者がこの特定のユーザーに関連付けたいデータを保存するために使用できます。たとえば、ユーザーの氏名や従業員 ID などがあります。
roles	配列	ユーザーに付与されたロールです。空の配列[]を指定すると、ロールのないユーザーも作成できます。
authenticationRestrictions	配列	任意。作成されたユーザーにサーバーが強制する認証制限です。ユーザーによるサーバー接続が許可される、またはサーバーがユーザーを受け入れることができる IP アドレスと CIDR範囲のリストを指定します。 バージョン 3.6 の新機能。
mechanisms	配列	任意。SCRAM ユーザー資格情報を作成するための、特定の SCRAM メカニズムを指定します。authenticationMechanismsが指定されている場合は、 authenticationMechanismsのサブセットのみを指定できます。 有効な値は次のとおりです。 "SCRAM-SHA-1" SHA-1ハッシュ関数を使用します。 "SCRAM-SHA-256" SHA-256ハッシュ関数を使用します。 passwordDigestor は必ずserver にします。 デフォルトは SCRAM-SHA-1 と SCRAM-SHA-256の両方です。
passwordDigestor	string	任意。サーバーまたはクライアントがパスワードをダイジェスト化するかどうかを示します。 使用可能な値は次のとおりです。 "server" （デフォルト） サーバーはクライアントからダイジェスト化されていないパスワードを受け取り、そのパスワードをダイジェスト化します。 "client" （SCRAM-SHA-256 とは互換性がありません） クライアントはパスワードをダイジェスト化し、ダイジェスト化されたパスワードをサーバーに渡します。

"readWrite"

{ role: "<role>", db: "<database>" }

互換性

このメソッドは、次の環境でホストされている配置で使用できます。

• MongoDB Enterprise: サブスクリプションベースの自己管理型 MongoDB バージョン

• MongoDB Community: ソースが利用可能で、無料で使用できる自己管理型の MongoDB のバージョン

動作

必要なアクセス権

• データベースに新しいユーザーを作成するには、そのデータベース リソース上のcreateUser アクション が必要です。

• ユーザーにロールを付与するには、そのロールのデータベース上でのgrantRole アクションが必要です。

userAdminおよび userAdminAnyDatabase の組み込みロールが、それぞれのリソースでのcreateUser アクションおよび grantRole アクションを提供します。

例

以下の db.createUser() 操作により、products データベースに accountAdmin01 ユーザーが作成されます。

use products
db.createUser( { user: "accountAdmin01",
                 pwd: passwordPrompt(),  // Or  "<cleartext password>"
                 customData: { employeeId: 12345 },
                 roles: [ { role: "clusterAdmin", db: "admin" },
                          { role: "readAnyDatabase", db: "admin" },
                          "readWrite"] },
               { w: "majority" , wtimeout: 5000 } )

この操作により、accountAdmin01 に次のロールが付与されます。

• admin データベース上の clusterAdmin ロールと readAnyDatabase ロール

• products データベースのreadWrite ロール

use products
db.createUser(
   {
     user: "accountUser",
     pwd: passwordPrompt(),  // Or  "<cleartext password>"
     roles: [ "readWrite", "dbAdmin" ]
   }
)

use admin
db.createUser(
   {
     user: "reportsUser",
     pwd: passwordPrompt(),  // Or  "<cleartext password>"
     roles: [ ]
   }
)

use admin
db.createUser(
   {
     user: "appAdmin",
     pwd: passwordPrompt(),   // Or  "<cleartext password>"
     roles:
       [
         { role: "readWrite", db: "config" },
         "clusterAdmin"
       ]
   }
)

use admin
db.createUser(
   {
     user: "restricted",
     pwd: passwordPrompt(),      // Or  "<cleartext password>"
     roles: [ { role: "readWrite", db: "reporting" } ],
     authenticationRestrictions: [ {
        clientSource: ["192.0.2.0"],
        serverAddress: ["198.51.100.0"]
     } ]
   }
)

use reporting
db.createUser(
   {
     user: "reportUser256",
     pwd: passwordPrompt(),   // Or  "<cleartext password>"
     roles: [ { role: "readWrite", db: "reporting" } ],
     mechanisms: [ "SCRAM-SHA-256" ]
   }
)