자체 관리형 배포서버의 기본 제공 역할

데이터베이스 사용자 역할

각각의 데이터베이스에는 다음과 같은 클라이언트 역할이 포함됩니다.

read

모든 비시스템 컬렉션 및 system.js 컬렉션에서 데이터를 읽을 수 있는 기능을 제공합니다.

참고

이 역할은 system.namespaces 컬렉션에 직접 액세스할 수 있는 권한을 제공하지 않습니다.

이 역할은 다음과 같은 조치를 허용하여 읽기 액세스 권한을 제공합니다.

• changeStream

• collStats

• dbHash

• dbStats

• find

• killCursors

• listCollections

• listIndexes

• listSearchIndexes

사용자에게 listDatabases 권한 조치가 없는 경우, authorizedDatabases 옵션이 지정되지 않았거나 true로 설정된 상태에서 listDatabases 명령을 실행하여 사용자에게 권한이 있는 데이터베이스 목록(특정 컬렉션에 대한 권한이 있는 데이터베이스 포함)을 반환할 수 있습니다.

readWrite

read 역할의 모든 권한과 모든 비시스템 컬렉션 및 system.js 컬렉션의 데이터를 수정할 수 있는 기능을 제공합니다.

이 역할은 이러한 컬렉션에 대해 다음과 같은 조치를 제공합니다.

• changeStream

• collStats

• convertToCapped

• createCollection

• createIndex

• createSearchIndexes

• dbHash

• dbStats

• dropCollection

• dropIndex

• dropSearchIndex

• find

• insert

• killCursors

• listCollections

• listIndexes

• listSearchIndexes

• remove

• renameCollectionSameDB

• update

• updateSearchIndex

데이터베이스 관리 역할

각각의 데이터베이스에는 다음과 같은 데이터베이스 관리 역할이 포함되어 있습니다.

dbAdmin

스키마 관련 작업, 인덱싱, 통계 수집 등의 관리 작업을 수행하는 기능을 제공합니다. 이 역할은 사용자 및 역할 관리에 대한 권한을 부여하지 않습니다.

이 역할은 다음과 같은 권한을 부여합니다.

Resource	허용된 조치
system.profile	changeStream collStats convertToCapped createCollection dbHash dbStats dropCollection find killCursors listCollections listIndexes listSearchIndexes planCacheRead
모든 비시스템 컬렉션(즉, 데이터베이스 리소스)	bypassDocumentValidation collMod collStats compact convertToCapped createCollection createIndex createSearchIndexes dbStats dropCollection dropDatabase dropIndex dropSearchIndex enableProfiler listCollections listIndexes listSearchIndexes planCacheIndexFilter planCacheRead planCacheWrite reIndex renameCollectionSameDB storageDetails updateSearchIndex validate 이러한 컬렉션의 경우 dbAdmin에는 전체 읽기 액세스 권한이 포함되지 않습니다(예: find).

dbOwner

데이터베이스 소유자는 데이터베이스에 대해 모든 관리 조치를 수행할 수 있습니다. 이 역할은 readWrite, dbAdmin, userAdmin 역할이 부여하는 권한을 조합합니다.

userAdmin

현재 데이터베이스에서 역할과 사용자를 생성하고 수정할 수 있는 기능을 제공합니다. userAdmin 역할은 사용자가 자신을 포함한 모든 사용자에게 어떠한 권한이든 부여할 수 있도록 허용하므로 데이터베이스 또는 클러스터(admin 데이터베이스로 범위가 지정된 경우)에 대한 슈퍼유저 액세스 권한도 간접적으로 제공합니다.

userAdmin 역할은 다음과 같은 조치를 명시적으로 제공합니다.

• changeCustomData

• changePassword

• createRole

• createUser

• dropRole

• dropUser

• grantRole

• revokeRole

• setAuthenticationRestriction

• viewRole

• viewUser

경고

데이터베이스에 대해 이 역할을 가진 사용자는 해당 데이터베이스에 대한 모든 권한을 자신에게 할당할 수 있으므로 userAdmin 역할 부여가 보안에 미치는 영향을 이해하는 것이 중요합니다. admin 데이터베이스에 userAdmin 역할을 부여하면 클러스터에 대해 슈퍼유저 액세스 권한이 간접적으로 부여되므로 보안에 더 많은 영향을 미칩니다. admin 범위에서는 userAdmin 역할을 가진 사용자가 userAdminAnyDatabase를 비롯하여 클러스터 전반에 걸친 역할 또는 권한을 부여할 수 있습니다.

클러스터 관리 역할

admin 데이터베이스에는 단일 데이터베이스가 아닌 전체 시스템을 관리하기 위한 다음과 같은 역할이 포함되어 있습니다. 이러한 역할에는 복제본 세트 및 샤딩된 클러스터 관리 기능이 포함되지만 이에 국한되지는 않습니다.

clusterAdmin

최고의 클러스터 관리 액세스 권한을 제공합니다. 이 역할은 clusterManager, clusterMonitor, hostManager 역할이 부여하는 권한을 조합합니다. 또한 dropDatabase 조치를 제공합니다.

clusterManager

클러스터에 대한 관리 및 모니터링 조치를 제공합니다. 이 역할을 가진 사용자는 샤딩 및 복제에 각각 사용되는 config 및 local 데이터베이스에 액세스할 수 있습니다. 또한 querySettings 조치를 제공합니다.

Resource	작업
cluster	addShard appendOplogNote applicationMessage checkMetadataConsistency (버전 7.0에 새로 추가됨) cleanupOrphaned flushRouterConfig getClusterParameter getDefaultRWConcern listSessions listShards removeShard replSetConfigure replSetGetConfig replSetGetStatus replSetStateChange resync setClusterParameter setDefaultRWConcern setFeatureCompatibilityVersion transitionFromDedicatedConfigServer transitionToDedicatedConfigServer
모두 databases	analyzeShardKey (버전 7.0에 새로 추가됨) clearJumboFlag configureQueryAnalyzer enableSharding moveChunk refineCollectionShardKey reshardCollection splitVector clusterManager는 config 및 local 데이터베이스에 대한 추가 권한을 제공합니다.

config 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

Resource	작업
config 데이터베이스의 모든 비시스템 컬렉션	collStats dbHash dbStats enableSharding find insert killCursors listCollections listIndexes listSearchIndexes moveChunk planCacheRead remove splitVector update
system.js	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead

local 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

Resource	작업
local 데이터베이스의 모든 비시스템 컬렉션	enableSharding insert moveChunk remove splitVector update
system.replset 컬렉션	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead

clusterMonitor

MongoDB Cloud Manager와 MongoDB Ops Manager 모니터링 에이전트와 같은 모니터링 도구에 대한 읽기 전용 액세스를 제공합니다.

클러스터 전체에 대해 다음 조치를 허용합니다.

connPoolStats getCmdLineOpts getDefaultRWConcern getLog getParameter getShardMap hostInfo inprog

listDatabases listSessions listShards replSetGetConfig replSetGetStatus serverStatus shardingState top

클러스터의 모든 데이터베이스에 대해 다음 조치를 허용합니다.

• collStats

• dbStats

• indexStats

• useUUID

클러스터의 모든 system.profile 컬렉션에 대해 find 조치를 허용합니다.

config 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

Resource	작업
config 데이터베이스의 모든 비시스템 컬렉션	collStats dbHash dbStats find indexStats killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.js 컬렉션	collStats dbHash dbStats find killCursors listCollections listIndexes planCacheRead

local 데이터베이스에 대해 다음과 같은 조치를 허용합니다.

Resource	작업
local 데이터베이스의 모든 비시스템 컬렉션	collStats dbHash dbStats find indexStats killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.js collection	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.replset, system.profile,	find

directShardOperations

MongoDB 8.0부터 directShardOperations 역할을 사용하여 샤드에 대해 직접 명령을 실행해야 하는 유지 관리 작업을 수행할 수 있습니다.

경고

directShardOperations 역할 을 사용하여 명령을 실행하면 클러스터 가 올바르게 작동하지 않고 데이터가 손상될 수 있습니다. directShardOperations 역할 은 유지 관리 목적으로만 사용하거나 MongoDB 지원 의 지침 에 따라 사용하세요. 유지 관리 작업 수행이 완료되면 directShardOperations 역할 사용을 중지합니다.

enableSharding

컬렉션에 대해 샤딩을 활성화하고 기존 샤드 키를 수정하는 기능을 제공합니다.

모든 비시스템 컬렉션에 대해 다음 조치를 제공합니다.

• enableSharding

• refineCollectionShardKey

• reshardCollection

hostManager

서버를 모니터링하고 관리할 수 있는 기능을 제공합니다.

클러스터 전체에 대해 다음 조치를 제공합니다.

applicationMessage closeAllDatabases compact (7.3 버전의 새로운 기능) connPoolSync flushRouterConfig fsync

invalidateUserCache killAnyCursor killAnySession killop logRotate oidReset

resync rotateCertificates (버전 5.0에 새로 추가됨) setParameter shutdown touch unlock

클러스터의 모든 데이터베이스에 대해 다음 조치를 제공합니다.

• killCursors

백업 및 복원 역할

admin 데이터베이스에는 데이터 백업 및 복원을 위한 다음 역할이 포함되어 있습니다.

backup

데이터 백업에 필요한 최소한의 권한을 제공합니다. 이 역할은 MongoDB Cloud Manager 백업 에이전트, Ops Manager 백업 에이전트를 사용하거나 mongodump를 사용하여 전체 mongod 인스턴스를 백업할 수 있는 충분한 권한을 제공합니다.

config 데이터베이스의 settings 컬렉션에 대한 insert 및 update 조치를 제공합니다.

anyResource에 대해 다음 조치를 제공합니다.

• listDatabases 조치

• listCollections 조치

• listIndexes 조치

• listSearchIndexes 조치

클러스터 전체에 대해 다음 조치를 제공합니다.

• appendOplogNote

• getParameter

• listDatabases

• serverStatus

• setUserWriteBlockMode (MongoDB 6.0부터 사용 가능)

다음에 대해 find 조치를 제공합니다.

• config 및 local 데이터베이스의 컬렉션을 포함하여 클러스터의 모든 비시스템 컬렉션

• 클러스터의 다음과 같은 시스템 컬렉션:

  system.js및 system.profile

• admin.system.users 및 admin.system.roles 컬렉션

• config.settings 컬렉션

• 2.6 이전 버전의 MongoDB에 있는 레거시 system.users 컬렉션

config.settings 컬렉션에 대해 insert 및 update 조치를 제공합니다.

backup 역할은 데이터베이스 프로파일링으로 실행할 때 존재하는 system.profile컬렉션을 백업할 수 있는 추가 권한을 제공합니다.

restore

비시스템 컬렉션에 대한 convertToCapped 조치를 제공합니다.

데이터에 system.profile 컬렉션 데이터가 포함되어 있지 않고 --oplogReplay 옵션 없이 mongorestore를 실행하는 경우 백업에서 데이터를 복원하는 데 필요한 권한을 제공합니다.

백업 데이터에 system.profile 컬렉션 데이터가 포함되어 있거나 --oplogReplay를 사용하여 실행하는 경우 추가 권한이 필요합니다.

system.profile	백업 데이터에 system.profile 컬렉션 데이터가 포함되어 있고 대상 데이터베이스에 system.profile 컬렉션이 포함되어 있지 않은 경우 mongorestore는 프로그램이 실제로 system.profile 문서를 복원하지 않더라도 컬렉션을 만들려고 시도합니다. 따라서 데이터베이스의 system.profile 컬렉션에 createCollection 및 convertToCapped 조치를 수행하려면 사용자에게 추가 권한이 필요합니다. 기본 제공 역할 dbAdmin과 dbAdminAnyDatabase는 모두 추가 권한을 제공합니다.
--oplogReplay	--oplogReplay를 사용하여 실행하려면 anyResource에 anyAction이 있는 사용자 정의 역할을 생성하십시오. --oplogReplay로 mongorestore를 실행해야 하는 사용자에게만 부여하세요.

클러스터 전체에 대해 다음 조치를 제공합니다.

• getParameter

모든 비시스템 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• changeCustomData

• changePassword

• collMod

• convertToCapped

• createCollection

• createIndex

• createRole

• createSearchIndexes

• createUser

• dropCollection

• dropRole

• dropUser

• grantRole

• insert

• revokeRole

• updateSearchIndex

• viewRole

• viewUser

system.js 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• insert

• updateSearchIndex

anyResource에 대해 다음 조치를 제공합니다.

• listCollections

config 및 local 데이터베이스의 모든 비시스템 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• insert

• updateSearchIndex

다음과 같은 조치를 제공합니다. admin.system.version

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• find

• insert

• updateSearchIndex

다음과 같은 조치를 제공합니다. admin.system.roles

• createIndex

admin.system.users 및 레거시 system.users 컬렉션에 대해 다음 조치를 제공합니다.

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• find

• insert

• remove

• update

• updateSearchIndex

restore에는 일반 수정 작업을 사용하여 admin.system.users 컬렉션의 문서를 수정하는 기능이 포함되어 있지만 사용자 관리 방법을 통해서만 이러한 데이터를 수정합니다.

<database>.system.views 컬렉션에 대해 다음 조치를 제공합니다.

• dropCollection (MongoDB 7.2부터)

클러스터 전체에 대해 다음과 같은 조치를 제공합니다.

• bypassWriteBlockingMode (MongoDB 6.0부터 사용 가능)

• setUserWriteBlockMode (MongoDB 6.0부터 사용 가능)

전체 데이터베이스 역할

다음 역할은 admin 데이터베이스에서 사용할 수 있으며 local 및 config를 제외한 모든 데이터베이스에 적용되는 권한을 제공합니다.

readAnyDatabase

local 및 config를 제외한 모든 데이터베이스에서 read와 동일한 읽기 전용 권한을 제공합니다. 이 역할은 클러스터 전체에 대한 listDatabases 조치도 제공합니다.

config 및 local 데이터베이스에 액세스하려면 clusterManager 및 clusterMonitor 역할도 참조하세요.

readWriteAnyDatabase

local 및 config를 제외한 모든 데이터베이스에서 readWrite와 동일한 권한을 제공합니다. 이 역할은 다음 또한 제공합니다.

• 클러스터 전체에 대한 listDatabases 조치

• compactStructuredEncryptionData 조치

config 및 local 데이터베이스에 액세스하려면 clusterManager 및 clusterMonitor 역할도 참조하세요.

userAdminAnyDatabase

local 및 config를 제외한 모든 데이터베이스에 대해 userAdmin과 동일한 사용자 관리 작업에 액세스할 수 있는 권한을 제공합니다.

userAdminAnyDatabase 는 클러스터에 대해 다음과 같은 권한 조치도 제공합니다.

• authSchemaUpgrade

• invalidateUserCache

• listDatabases

이 역할은 admin 데이터베이스의 system.users 및 system.roles 컬렉션과 2.6 이전 버전의 MongoDB의 레거시 system.users 컬렉션에 대해 다음과 같은 권한 조치를 제공합니다.

• collStats

• createIndex

• createSearchIndexes

• dbHash

• dbStats

• dropIndex

• dropSearchIndex

• find

• killCursors

• planCacheRead

userAdminAnyDatabase 역할은 사용자가 부여할 수 있는 권한을 제한하지 않습니다. 따라서 userAdminAnyDatabase 사용자는 현재 권한을 초과하는 권한을 자신에게 부여할 수 있으며, 역할이 사용자 관리 이상의 권한을 명시적으로 부여하지 않더라도 모든 권한을 자신에게 부여할 수도 있습니다. 이 역할은 사실상 MongoDB 시스템 슈퍼유저입니다.

config 및 local 데이터베이스에 액세스하려면 clusterManager 및 clusterMonitor 역할도 참조하세요.

dbAdminAnyDatabase

local 및 config를 제외한 모든 데이터베이스에 대해 dbAdmin과 동일한 권한을 제공합니다. 이 역할은 클러스터 전체에 대해 listDatabases 조치도 제공합니다.

config 및 local 데이터베이스에 액세스하려면 clusterManager 및 clusterMonitor 역할도 참조하세요.

MongoDB 5.0부터 dbAdminAnyDatabase에 ApplyOps 권한 조치가 포함됩니다.

슈퍼유저 역할

시스템 전체에 대해 간접적 또는 직접적 슈퍼유저 액세스 권한을 제공하는 몇 가지 역할이 있습니다.

다음 역할은 모든 사용자에게 모든 데이터베이스에 대한 모든 권한을 할당할 수 있는 기능을 제공하므로, 이러한 역할 중 하나를 가진 사용자는 모든 데이터베이스에 대한 모든 권한을 자신에게 할당할 수 있습니다.

• dbOwner 역할(admin 데이터베이스로 범위가 지정된 경우)

• userAdmin 역할(admin 데이터베이스로 범위가 지정된 경우)

• userAdminAnyDatabase 역할

다음 역할은 모든 리소스에 대한 전체 권한을 제공합니다.

root

조합된 다음 역할의 작업 및 모든 리소스에 대한 액세스를 제공합니다.

• readWriteAnyDatabase

• dbAdminAnyDatabase

• userAdminAnyDatabase

• clusterAdmin

• restore

• backup

또한 다음과 같은 권한 조치를 제공합니다.

• system. 컬렉션에 대한 validate

• bypassDefaultMaxTimeMS는 사용자가 실행하는 모든 쿼리가 defaultMaxTimeMS 값을 무시하게 합니다.

버전 6.0에서 변경된 사항: root 역할에는 config 데이터베이스의 system.preimages 컬렉션에 대한 find 및 remove 권한이 포함되어 있습니다.

내부 역할

__system

MongoDB는 복제본 세트 노드 및 mongos 인스턴스와 같이 클러스터 노드를 나타내는 사용자 객체에 이 역할을 할당합니다. 이 역할은 소유자에게 데이터베이스의 모든 객체에 대해 모든 조치를 수행할 수 있는 권한을 부여합니다.

예외적인 경우를 제외하고는 애플리케이션 또는 인간 관리자를 나타내는 사용자 객체에는 이 역할을 할당하지 마세요.

모든 리소스에 대한 모든 조치(예시: applyOps 명령 실행)에 액세스해야 하는 경우에는 이 역할을 할당하지 마세요. 대신, anyResource에 대해 anyAction을 부여하는 사용자 정의 역할을 만들고 이러한 작업에 액세스해야 하는 사용자만 이 액세스 권한을 갖도록 하세요.