db.createUser()

定義

db.createUser(user, writeConcern)

メソッドが実行されるデータベースに新しいユーザーを作成します。 db.createUser() は、ユーザーがデータベースに既に存在する場合、重複ユーザーエラーを返します。

重要

mongosh メソッド

このページでは、mongosh メソッドについて記載しています。ただし、データベースコマンドや Node.js などの言語固有のドライバーのドキュメントには該当しません。

データベースコマンドについては、 createUserコマンドを参照してください。

MongoDB API ドライバーについては、各言語の MongoDB ドライバー ドキュメントを参照してください。

db.createUser()メソッドの構文は次のとおりです。

フィールド	タイプ	説明
user	ドキュメント	作成するユーザーに関する認証およびアクセス情報を含むドキュメントを参照してください。
writeConcern	ドキュメント	任意。 操作の 書込み保証（ write concern ） のレベル。 詳しくは、 書込み保証（write concern） の仕様を参照してください。

user ドキュメントはユーザーを定義し、形式は以下のとおりです。

Tip

メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、 passwordPrompt()メソッドをさまざまなユーザー認証や管理のメソッドやコマンドと組み合わせて使用すると、パスワードの入力を求めることができます。 ただし、 mongo shell の以前のバージョンと同様にパスワードを直接指定することもできます。

{
  user: "<name>",
  pwd: passwordPrompt(),      // Or  "<cleartext password>"
  customData: { <any information> },
  roles: [
    { role: "<role>", db: "<database>" } | "<role>",
    ...
  ],
  authenticationRestrictions: [
     {
       clientSource: ["<IP>" | "<CIDR range>", ...],
       serverAddress: ["<IP>" | "<CIDR range>", ...]
     },
     ...
  ],
  mechanisms: [ "<SCRAM-SHA-1|SCRAM-SHA-256>", ... ],
  passwordDigestor: "<server|client>"
}

userドキュメントには、以下のフィールドがあります。

フィールド	タイプ	説明
user	string	新しいユーザーの名前。
pwd	string	ユーザーのパスワード。 $externalデータベースでdb.createUser()を実行して、MongoDB の外部に保存される認証情報を持つユーザーを作成する場合、 pwdフィールドは必要ありません。 値は以下のいずれかになります。 クリアテキスト文字列のユーザーのパスワード passwordPrompt() で、ユーザーのパスワードの入力を求める メソッドやコマンドの呼び出しでパスワードを直接指定する代わりに、 passwordPrompt()メソッドをさまざまなユーザー認証や管理のメソッドやコマンドと組み合わせて使用すると、パスワードの入力を求めることができます。 ただし、 mongo shell の以前のバージョンと同様にパスワードを直接指定することもできます。
customData	ドキュメント	任意。任意の情報が含まれます。このフィールドは、データ管理者がこの特定のユーザーに関連付けたいデータを保存するために使用できます。たとえば、ユーザーの氏名や従業員 ID などがあります。
roles	配列	ユーザーに付与されたロールです。空の配列[]を指定すると、ロールのないユーザーも作成できます。
authenticationRestrictions	配列	任意。作成されたユーザーにサーバーが強制する認証制限です。ユーザーによるサーバー接続が許可される、またはサーバーがユーザーを受け入れることができる IP アドレスと CIDR範囲のリストを指定します。
mechanisms	配列	任意。SCRAM ユーザー資格情報を作成するための、特定の SCRAM メカニズムを指定します。authenticationMechanismsが指定されている場合は、 authenticationMechanismsのサブセットのみを指定できます。 有効な値は次のとおりです。 "SCRAM-SHA-1" SHA-1ハッシュ関数を使用します。 "SCRAM-SHA-256" SHA-256ハッシュ関数を使用します。 passwordDigestor は必ずserver にします。 デフォルトは SCRAM-SHA-1 と SCRAM-SHA-256の両方です。
passwordDigestor	string	任意。サーバーまたはクライアントがパスワードをダイジェスト化するかどうかを示します。 使用可能な値は次のとおりです。 "server" （デフォルト） サーバーはクライアントからダイジェスト化されていないパスワードを受け取り、そのパスワードをダイジェスト化します。 "client" （SCRAM-SHA-256 とは互換性がありません） クライアントはパスワードをダイジェスト化し、ダイジェスト化されたパスワードをサーバーに渡します。

"readWrite"

{ role: "<role>", db: "<database>" }

動作

必要なアクセス権

• データベースに新しいユーザーを作成するには、そのデータベース リソース上のcreateUser アクション が必要です。

• ユーザーにロールを付与するには、そのロールのデータベース上でのgrantRole アクションが必要です。

userAdminおよび userAdminAnyDatabase の組み込みロールが、それぞれのリソースでのcreateUser アクションおよび grantRole アクションを提供します。

例

以下の db.createUser() 操作により、products データベースに accountAdmin01 ユーザーが作成されます。

use products
db.createUser( { user: "accountAdmin01",
                 pwd: passwordPrompt(),  // Or  "<cleartext password>"
                 customData: { employeeId: 12345 },
                 roles: [ { role: "clusterAdmin", db: "admin" },
                          { role: "readAnyDatabase", db: "admin" },
                          "readWrite"] },
               { w: "majority" , wtimeout: 5000 } )

この操作により、accountAdmin01 に次のロールが付与されます。

• admin データベース上の clusterAdmin ロールと readAnyDatabase ロール

• products データベースのreadWrite ロール

use products
db.createUser(
   {
     user: "accountUser",
     pwd: passwordPrompt(),  // Or  "<cleartext password>"
     roles: [ "readWrite", "dbAdmin" ]
   }
)

use admin
db.createUser(
   {
     user: "reportsUser",
     pwd: passwordPrompt(),  // Or  "<cleartext password>"
     roles: [ ]
   }
)

use admin
db.createUser(
   {
     user: "appAdmin",
     pwd: passwordPrompt(),   // Or  "<cleartext password>"
     roles:
       [
         { role: "readWrite", db: "config" },
         "clusterAdmin"
       ]
   }
)

use admin
db.createUser(
   {
     user: "restricted",
     pwd: passwordPrompt(),      // Or  "<cleartext password>"
     roles: [ { role: "readWrite", db: "reporting" } ],
     authenticationRestrictions: [ {
        clientSource: ["192.0.2.0"],
        serverAddress: ["198.51.100.0"]
     } ]
   }
)

use reporting
db.createUser(
   {
     user: "reportUser256",
     pwd: passwordPrompt(),   // Or  "<cleartext password>"
     roles: [ { role: "readWrite", db: "reporting" } ],
     mechanisms: [ "SCRAM-SHA-256" ]
   }
)