기본 제공 역할

데이터베이스 사용자 역할

각각의 데이터베이스에는 다음과 같은 클라이언트 역할이 포함됩니다.

read

모든 비시스템 컬렉션 및 system.js 컬렉션에서 데이터를 읽을 수 있는 기능을 제공합니다.

참고

이 역할은 system.namespaces 컬렉션에 직접 액세스할 수 있는 권한을 제공하지 않습니다.

이 역할은 다음과 같은 조치를 허용하여 읽기 액세스 권한을 제공합니다.

• changeStream

• collStats

• dbHash

• dbStats

• find

• killCursors

• listCollections

• listIndexes

• listSearchIndexes

사용자에게 listDatabases 권한 조치가 없는 경우, authorizedDatabases 옵션이 지정되지 않았거나 true로 설정된 상태에서 listDatabases 명령을 실행하여 사용자에게 권한이 있는 데이터베이스 목록(특정 컬렉션에 대한 권한이 있는 데이터베이스 포함)을 반환할 수 있습니다.

readWrite

read 역할의 모든 권한과 모든 비시스템 컬렉션 및 system.js 컬렉션의 데이터를 수정할 수 있는 기능을 제공합니다.

이 역할은 이러한 컬렉션에 대해 다음과 같은 조치를 제공합니다.

• changeStream

• collStats

• convertToCapped

• createCollection

• createIndex

• createSearchIndexes

• dbHash

• dbStats

• dropCollection

• dropIndex

• dropSearchIndex

• find

• insert

• killCursors

• listCollections

• listIndexes

• listSearchIndexes

• remove

• renameCollectionSameDB

• update

• updateSearchIndex

데이터베이스 관리 역할

각각의 데이터베이스에는 다음과 같은 데이터베이스 관리 역할이 포함되어 있습니다.

dbAdmin

스키마 관련 작업, 인덱싱, 통계 수집 등의 관리 작업을 수행하는 기능을 제공합니다. 이 역할은 사용자 및 역할 관리에 대한 권한을 부여하지 않습니다.

이 역할은 다음과 같은 권한을 부여합니다.

리소스	허용된 조치
system.profile	changeStream collStats convertToCapped createCollection dbHash dbStats dropCollection find killCursors listCollections listIndexes listSearchIndexes planCacheRead
모든 비시스템 컬렉션(즉, 데이터베이스 리소스)	bypassDocumentValidation collMod collStats compact convertToCapped createCollection createIndex createSearchIndexes dbStats dropCollection dropDatabase dropIndex dropSearchIndex enableProfiler listCollections listIndexes listSearchIndexes planCacheIndexFilter planCacheRead planCacheWrite reIndex renameCollectionSameDB storageDetails updateSearchIndex validate 이러한 컬렉션의 경우 dbAdmin 에는 전체 읽기 액세스 권한이 포함 되지 않습니다 (예: find).

dbOwner

데이터베이스 소유자는 데이터베이스에 대해 모든 관리 작업을 수행할 수 있습니다. 이 역할은 readWrite, dbAdmin 및 userAdmin 역할이 부여하는 권한을 결합합니다.

userAdmin

현재 데이터베이스에서 역할과 사용자를 만들고 수정할 수 있는 기능을 제공합니다. userAdmin 역할을 통해 사용자는 자신을 포함한 모든 사용자에게 모든 권한을 부여할 수 있으므로 이 역할은 데이터베이스 또는 클러스터( admin 데이터베이스로 범위가 지정된 경우)에 대한 슈퍼유저 액세스 권한도 간접적으로 제공합니다.

userAdmin 역할은 다음 조치를 명시적으로 제공합니다.

• changeCustomData

• changePassword

• createRole

• createUser

• dropRole

• dropUser

• grantRole

• revokeRole

• setAuthenticationRestriction

• viewRole

• viewUser

경고

데이터베이스에 대해 이 역할을 가진 사용자는 해당 데이터베이스에 대한 모든 권한을 자신에게 할당할 수 있으므로 userAdmin 역할 부여가 보안에 미치는 영향을 이해하는 것이 중요합니다. admin 데이터베이스에 userAdmin 역할을 부여하면 클러스터에 대한 슈퍼유저 액세스 권한이 간접적으로 제공되므로 보안에 더 많은 영향을 미칩니다. admin 범위에서는 userAdmin 역할을 가진 사용자가 userAdminAnyDatabase 를 포함한 클러스터 전체의 역할 또는 권한을 부여할 수 있습니다.

클러스터 관리 역할

admin 데이터베이스에는 단일 데이터베이스가 아닌 전체 시스템을 관리하기 위한 다음과 같은 역할이 포함되어 있습니다. 이러한 역할에는 복제본 세트 및 샤딩된 클러스터 관리 기능이 포함되지만 이에 국한되지는 않습니다.

clusterAdmin

최고의 클러스터 관리 액세스를 제공합니다. 이 역할은 clusterManager, clusterMonitor 및 hostManager 역할이 부여하는 권한을 결합합니다. 또한 이 역할은 dropDatabase 조치를 제공합니다.

clusterManager

클러스터에 대한 관리 및 모니터링 조치를 제공합니다. 이 역할을 가진 사용자는 샤딩 및 복제에 각각 사용되는 config 및 local 데이터베이스에 액세스할 수 있습니다.

리소스	작업
cluster	addShard appendOplogNote applicationMessage checkMetadataConsistency (버전 7.0에 새로 추가됨) cleanupOrphaned flushRouterConfig getClusterParameter getDefaultRWConcern listSessions listShards removeShard replSetConfigure replSetGetConfig replSetGetStatus replSetStateChange resync setClusterParameter setDefaultRWConcern setFeatureCompatibilityVersion
모두 데이터베이스	analyzeShardKey (버전 7.0에 새로 추가됨) clearJumboFlag configureQueryAnalyzer enableSharding moveChunk refineCollectionShardKey reshardCollection splitVector clusterManager 는 config 및 local 데이터베이스에 대한 추가 권한을 제공합니다.

config 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

리소스	작업
config 데이터베이스의 모든 비시스템 컬렉션	collStats dbHash dbStats enableSharding find insert killCursors listCollections listIndexes listSearchIndexes moveChunk planCacheRead remove splitVector update
system.js	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead

local 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

리소스	작업
local 데이터베이스의 모든 비시스템 컬렉션	enableSharding insert moveChunk remove splitVector update
system.replset 컬렉션	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead

clusterMonitor

MongoDB Cloud Manager 및 Ops Manager 모니터링 에이전트와 같은 모니터링 도구에 대한 읽기 전용 액세스 권한을 제공합니다.

클러스터 전체에 대해 다음 조치를 허용합니다.

connPoolStats getCmdLineOpts getDefaultRWConcern getLog getParameter getShardMap hostInfo inprog listDatabases

listSessions listShards netstat replSetGetConfig replSetGetStatus serverStatus shardingState top

클러스터의 모든 데이터베이스에 대해 다음 조치를 허용합니다.

• collStats

• dbStats

• getShardVersion

• indexStats

• useUUID

클러스터의 모든 system.profile 컬렉션에 대해 find 조치를 허용합니다.

config 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

리소스	작업
config 데이터베이스의 모든 비시스템 컬렉션	collStats dbHash dbStats find getShardVersion indexStats killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.js 컬렉션	collStats dbHash dbStats find killCursors listCollections listIndexes planCacheRead

local 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

리소스	작업
local 데이터베이스의 모든 컬렉션	collStats dbHash dbStats find getShardVersion indexStats killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.js 컬렉션	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.replset, system.profile,	find

enableSharding

컬렉션에 대한 샤딩을 활성화하고 기존 샤드 키를 수정할 수 있는 기능을 제공합니다.

모든 비시스템 컬렉션에 대해 다음 조치를 제공합니다.

• enableSharding

• refineCollectionShardKey

• reshardCollection

hostManager

서버를 모니터링하고 관리할 수 있는 기능을 제공합니다.

클러스터 전체에 대해 다음 조치를 제공합니다.

applicationMessage closeAllDatabases connPoolSync flushRouterConfig fsync invalidateUserCache

killAnyCursor killAnySession killop logRotate oidReset resync

rotateCertificates (버전 5.0에 새로 추가됨) setParameter shutdown touch unlock

클러스터의 모든 데이터베이스에 대해 다음 조치를 제공합니다.

• killCursors

백업 및 복원 역할

admin 데이터베이스에는 데이터 백업 및 복원을 위한 다음 역할이 포함되어 있습니다.

backup

데이터 백업에 필요한 최소한의 권한을 제공합니다. 이 역할은 MongoDB Cloud Manager 백업 에이전트, Ops Manager 백업 에이전트를 사용하거나 mongodump 를 사용하여 전체 mongod 인스턴스를 백업할 수 있는 충분한 권한을 제공합니다.

config 데이터베이스의 settings 컬렉션에 대한 insert 및 update 조치를 제공합니다.

anyResource에 대해 다음 조치를 제공합니다.

• listDatabases 조치

• listCollections 조치

• listIndexes 조치

• listSearchIndexes 조치

클러스터 전체에 대해 다음 조치를 제공합니다.

• appendOplogNote

• getParameter

• listDatabases

• serverStatus

• setUserWriteBlockMode (MongoDB 6.0부터 사용 가능)

다음에 대해 find 조치를 제공합니다.

• config 및 local 데이터베이스의 컬렉션을 포함하여 클러스터의 모든 비시스템 컬렉션

• 클러스터의 다음과 같은 시스템 컬렉션:

  system.js및 system.profile

• admin.system.users 및 admin.system.roles 컬렉션

• config.settings 컬렉션

• 2.6 이전 버전의 MongoDB에 있는 레거시 system.users 컬렉션

config.settings 컬렉션에 대해 insert 및 update 조치를 제공합니다.

역할은 데이터베이스 프로파일링 으로 실행할 때 존재하는 backup system.profile컬렉션을 백업할 수 있는 추가 권한을 제공합니다.

restore

비시스템 컬렉션에 대한 convertToCapped 조치를 제공합니다.

데이터에 컬렉션 데이터가 system.profile 포함되어 mongorestore 있지 --oplogReplay 않고 옵션 없이 를 실행하는 경우 백업에서 데이터를 복원하는 데 필요한 권한을 제공합니다.

백업 데이터에 system.profile 컬렉션 데이터가 포함되어 있거나 --oplogReplay 로 실행하는 경우 추가 권한이 필요합니다.

system.profile	백업 데이터에 system.profile 컬렉션 데이터가 포함되어 있고 대상 데이터베이스에 컬렉션이 포함되어 있지 않은 system.profile 경우, 는 프로그램이mongorestore 실제로 문서를 복원하지 않더라도 컬렉션 생성을 system.profile 시도합니다. 따라서 사용자는 데이터베이스의 createCollection 컬렉션에 convertToCapped system.profile 대해 및 조치를 수행하려면 추가 권한이 필요합니다. 기본 제공 역할 dbAdmin 및 dbAdminAnyDatabase 모두 추가 권한을 제공합니다.
--oplogReplay	으로 anyResource 실행하려면 에 --oplogReplay anyAction 이 있는 사용자 정의 역할 을 만듭니다 --oplogReplay 으로 mongorestore 를 실행해야 하는 사용자에게만 부여합니다

클러스터 전체에 대해 다음 조치를 제공합니다.

• getParameter

모든 비시스템 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• changeCustomData

• changePassword

• collMod

• convertToCapped

• createCollection

• createIndex

• createRole

• createSearchIndexes

• createUser

• dropCollection

• dropRole

• dropUser

• grantRole

• insert

• revokeRole

• updateSearchIndex

• viewRole

• viewUser

system.js 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• insert

• updateSearchIndex

anyResource에 대해 다음 조치를 제공합니다.

• listCollections

config 및 local 데이터베이스의 모든 비시스템 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• insert

• updateSearchIndex

다음과 같은 조치를 제공합니다. admin.system.version

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• find

• insert

• updateSearchIndex

다음과 같은 조치를 제공합니다. admin.system.roles

• createIndex

admin.system.users 및 레거시 system.users 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• find

• insert

• remove

• update

• updateSearchIndex

에는 일반적인restore 수정 작업을 사용하여 컬렉션의 admin.system.users 문서를 수정할 수 있는 기능이포함되어 있지만 사용자 관리 메서드 를 통해서만 이러한 데이터를 수정할 수 있습니다.

<database>.system.views 컬렉션에 대해 다음 조치를 제공합니다.

• dropCollection (MongoDB 6.0부터 사용 가능)

클러스터 전체에 대해 다음과 같은 조치를 제공합니다.

• bypassWriteBlockingMode (MongoDB 6.0부터 사용 가능)

• setUserWriteBlockMode (MongoDB 6.0부터 사용 가능)

전체 데이터베이스 역할

다음 역할은 admin 데이터베이스에서 사용할 수 있으며 local 및 config를 제외한 모든 데이터베이스에 적용되는 권한을 제공합니다.

readAnyDatabase

local 및 config 를 제외한 모든 데이터베이스에서 read 와 동일한 읽기 전용 권한을 제공합니다. 또한 이 역할은 클러스터 전체에 대한 listDatabases 조치를 제공합니다.

config 및 local 데이터베이스에 액세스하기 위한 clusterManager 및 clusterMonitor 역할도 참조하세요.

readWriteAnyDatabase

local 및 config 를 제외한 모든 데이터베이스에 대해 readWrite 와 동일한 권한을 제공합니다. 이 역할은 또한 다음을 제공합니다.

• 클러스터 전체에 대한 listDatabases 조치

• compactStructuredEncryptionData 조치

config 및 local 데이터베이스에 액세스하기 위한 clusterManager 및 clusterMonitor 역할도 참조하세요.

userAdminAnyDatabase

local 및 config 을(를) 제외한 모든 데이터베이스에서 userAdmin 와(과) 동일한 사용자 관리 작업에 대한 액세스 권한을 제공합니다.

userAdminAnyDatabase 는 클러스터에 대해 다음과 같은 권한 조치도 제공합니다.

• authSchemaUpgrade

• invalidateUserCache

• listDatabases

이 역할은 admin 데이터베이스의 system.users 및 system.roles 컬렉션과 2.6 이전 버전의 MongoDB의 레거시 system.users 컬렉션에 대해 다음과 같은 권한 조치를 제공합니다.

• collStats

• createIndex

• createSearchIndexes

• dbHash

• dbStats

• dropIndex

• dropSearchIndex

• find

• killCursors

• planCacheRead

userAdminAnyDatabase 역할은 사용자가 부여할 수 있는 권한을 제한하지 않습니다. 따라서 userAdminAnyDatabase 사용자는 현재 권한을 초과하는 권한을 자신에게 부여할 수 있으며, 역할이 사용자 관리 이상의 권한을 명시적으로 부여하지 않더라도 모든 권한 을 자신에게 부여할 수도 있습니다. 이 역할은 사실상 MongoDB 시스템 슈퍼유저입니다.

config 및 local 데이터베이스에 액세스하기 위한 clusterManager 및 clusterMonitor 역할도 참조하세요.

dbAdminAnyDatabase

local 및 config 를 제외한 모든 데이터베이스에 대해 dbAdmin 와 동일한 권한을 제공합니다. 또한 이 역할은 클러스터 전체에 대한 listDatabases 조치를 제공합니다.

config 및 local 데이터베이스에 액세스하기 위한 clusterManager 및 clusterMonitor 역할도 참조하세요.

MongoDB 5 부터 시작.0, dbAdminAnyDatabase 에는 applyOps 권한 작업이 포함되어 있습니다.

슈퍼유저 역할

시스템 전체에 대해 간접적 또는 직접적 슈퍼유저 액세스 권한을 제공하는 몇 가지 역할이 있습니다.

다음 역할은 모든 사용자에게 모든 데이터베이스에 대한 모든 권한을 할당할 수 있는 기능을 제공하므로, 이러한 역할 중 하나를 가진 사용자는 모든 데이터베이스에 대한 모든 권한을 자신에게 할당할 수 있습니다.

• dbOwner 데이터베이스로 범위가 지정된 admin 경우 역할

• userAdmin 데이터베이스로 범위가 지정된 admin 경우 역할

• userAdminAnyDatabase 역할

다음 역할은 모든 리소스에 대한 전체 권한을 제공합니다.

root

조합된 다음 역할의 작업 및 모든 리소스에 대한 액세스를 제공합니다.

• readWriteAnyDatabase

• dbAdminAnyDatabase

• userAdminAnyDatabase

• clusterAdmin

• restore

• backup

또한 system. 컬렉션에 대한 validate 권한 조치를 제공합니다.

버전 6.0에서 변경된 사항: root 역할에는 config 데이터베이스의 system.preimages 컬렉션에 대한 find 및 remove 권한이 포함되어 있습니다.

내부 역할

__system

MongoDB는 복제본 세트 노드 및 mongos 인스턴스와 같이 클러스터 노드를 나타내는 사용자 객체에 이 역할을 할당합니다. 이 역할은 소유자에게 데이터베이스의 모든 객체에 대해 모든 조치를 수행할 수 있는 권한을 부여합니다.

예외적인 경우를 제외하고는 애플리케이션 또는 인간 관리자를 나타내는 사용자 객체에는 이 역할을 할당하지 마세요.

모든 리소스에 대한 모든 조치(예시: applyOps 명령 실행)에 액세스해야 하는 경우에는 이 역할을 할당하지 마세요. 대신, anyResource에 대해 anyAction을 부여하는 사용자 정의 역할을 만들고 이러한 작업에 액세스해야 하는 사용자만 이 액세스 권한을 갖도록 하세요.