Página inicial do Docs → Desenvolver aplicações → Manual do MongoDB
Papéis integrados
Nesta página
O MongoDB concede acesso a dados e comandos por meio de autorização baseada em role e fornece roles internas que fornecem os diferentes níveis de acesso comumente necessários em um sistema de banco de dados. Você também pode criar roles definidas pelo usuário.
Uma role concede privilégios para executar conjuntos de ações em recursos definidos. Uma determinada role se aplica ao banco de dados no qual está definida e pode conceder acesso até um nível de granularidade da collection.
Cada uma das roles construídas no MongoDB define o acesso no nível do banco de dados para todas as collections que não estejam no sistema no banco de dados da role e no nível de collection para todas as collections do sistema.
Esta seção descreve os privilégios para cada role incorporado. Você também pode visualizar os privilégios de uma função incorporada a qualquer momento, emitindo o comando rolesInfo com os campos showPrivileges e showBuiltinRoles definidos como true.
As implantações do MongoDB Atlas têm roles integradas diferentes das implantações auto-hospedadas. Para saber mais, consulte os seguintes recursos:
Roles construídas no MongoDB Atlas
Você pode atribuir as seguintes roles integradas de usuário do banco de dados para implantações hospedadas no MongoDB Atlas:
Role do MongoDB | Nome da role na UI do MongoDB Atlas | Roles herdadas ou ações de privilégio |
|---|---|---|
atlasAdmin | Atlas admin | |
readWriteAnyDatabase | Read and write to any database | |
readAnyDatabase | Only read any database |
Você pode criar usuários de banco de dados e atribuir funções integradas na IU do MongoDB Atlas. Para saber mais, consulte Adicionar usuários de banco de dados.
Roles integradas de implantação auto-hospedada
O MongoDB fornece as seguintes roles integradas para implantações auto-hospedadas:
Roles de utilizador de banco de dados e administração de banco de dados em todos os bancos de dados
Todas as outras roles somente no banco de dados
admin
Roles do utilizador de banco de dados
Cada banco de dados inclui as seguintes roles de cliente:
readFornece a capacidade de ler dados em todas as collections que não são do sistema e na collection
system.js.Observação
A função não fornece privilégios para acessar diretamente a coleção
system.namespaces.A role fornece acesso de leitura ao conceder as seguintes ações:
Se o usuário não tiver a ação de privilégio
listDatabases, poderá executar o comandolistDatabasespara retornar uma lista de bancos de dados nos quais o usuário tem privilégios (incluindo bancos de dados nos quais o usuário tem privilégios em collections específicas) se o comando for executado com a opçãoauthorizedDatabasesnão especificada ou definida comotrue.
Roles de administração do banco de dados
Cada banco de dados inclui as seguintes roles de administração do banco de dados:
dbAdminFornece a capacidade de executar tarefas administrativas, como tarefas relacionadas a esquema, indexação e coleta de estatísticas. Esta role não concede privilégios para gerenciamento de usuários e roles.
Especificamente, a role fornece os seguintes privilégios:
RecursoAções permitidasTodas as collections que não são do sistema (ou seja, recurso de banco de dados)
dbOwnerO proprietário do banco de dados pode executar qualquer ação administrativa no banco de dados. Esta role combina os privilégios concedidos pelas roles
readWrite,dbAdmineuserAdmin.
userAdminFornece a capacidade de criar e modificar roles e usuários no banco de dados atual. Como a role
userAdminpermite que os usuários concedam qualquer privilégio a qualquer usuário, inclusive a si mesmos, a role também fornece indiretamente acesso de superusuário ao banco de dados ou, se o escopo for o banco de dadosadmin, ao cluster.A role
userAdminfornece explicitamente as seguintes ações:Aviso
É importante entender as implicações de segurança da concessão da role
userAdmin: um usuário com essa role para um banco de dados pode atribuir a si mesmo qualquer privilégio nesse banco de dados. Conceder a roleuserAdminno banco de dadosadmintem outras implicações de segurança, pois isso fornece indiretamente acesso de superusuário a um cluster. Com o escopoadmin, um usuário com a funçãouserAdminpode conceder funções ou privilégios em todo o cluster, incluindouserAdminAnyDatabase.
Roles de administração de cluster
O banco de dados admin inclui as seguintes roles para administrar todo o sistema, em vez de apenas um único banco de dados. Essas roles incluem, mas não estão limitadas a, conjunto de réplicas e roles administrativas de cluster fragmentado.
clusterAdminFornece o melhor acesso ao gerenciamento de clusters. Esta role combina os privilégios concedidos pelas roles
clusterManager,clusterMonitorehostManager. Além disso, a role fornece a açãodropDatabase.
clusterManagerFornece ações de gerenciamento e monitoramento no cluster. Um usuário com esta role pode acessar os bancos de dados
configelocal, que são utilizados na fragmentação e replicação, respectivamente.RecursoAçõesTodos bancos de dadosclusterManagerfornece privilégios adicionais para os bancos de dadosconfigelocal.No banco de dados
config, permite as seguintes ações:RecursoAçõesTodas as collections que não são do sistema no banco de dadosconfigNo banco de dados
local, permite as seguintes ações:RecursoAçõesTodas as collections que não são do sistema no banco de dadoslocalsystem.replsetcollection
clusterMonitorFornece acesso somente leitura a ferramentas de monitoramento, como o agente de monitoramento do MongoDB Cloud Manager e do Ops Manager.
Permite as seguintes ações no cluster como um todo:
Permite as seguintes ações em todos os bancos de dados do cluster:
Permite a ação
findem todas as collectionssystem.profileno cluster.No banco de dados
config, permite as seguintes ações:RecursoAçõesTodas as collections que não são do sistema no banco de dadosconfigsystem.jscollectionNo banco de dados
local, permite as seguintes ações:RecursoAçõesTodas as collections no banco de dadoslocalsystem.jscollection
enableShardingFornece a capacidade de habilitar a fragmentação de uma collection e modificar chaves de shard existentes.
Fornece as seguintes ações em todas as collections que não são do sistema:
hostManagerOferece a capacidade de monitorar e gerenciar servidores.
No cluster como um todo, fornece as seguintes ações:
rotateCertificates(Novidade na versão 5.0)
Em todos os bancos de dados do cluster, fornece as seguintes ações:
Roles de backup e restauração
O banco de dados admin inclui as seguintes roles para backup e restauração de dados:
backupFornece os privilégios mínimos necessários para fazer backup dos dados. Essa role fornece privilégios suficientes para usar o agente de backup do MongoDB Cloud Manager , o agente de backup do Ops Manager ou usar
mongodumppara fazer backup de uma instânciamongodinteira.Fornece as ações
inserteupdatena collectionsettingsno banco de dadosconfig.Em
anyResource, fornece olistDatabasesaçãolistCollectionsaçãolistIndexesaçãolistSearchIndexesação
No cluster como um todo, fornece
setUserWriteBlockMode(A partir do MongoDB 6.0)
Fornece a ação
findno seguinte:todas as collections não relacionadas ao sistema no cluster, incluindo aquelas nos bancos de dados
configelocalAs seguintes collections de sistema no cluster:
As collections
admin.system.userseadmin.system.rolesA collection
config.settingsCollections
system.usersherdadas de versões do MongoDB anteriores à 2.6
Fornece as ações
inserteupdatena collectionconfig.settings.O papel do
backupfornece privilégios adicionais para criar uma cópia de segurança da coleção dosystem.profileque existe ao executar com perfil do banco de dados.
restoreFornece
convertToCappedem collections não relacionadas ao sistema.Fornece os privilégios necessários para restaurar dados de backups se os dados não incluírem dados da collection
system.profilee você executar omongorestoresem a opção--oplogReplay.Se o backup de dados incluir dados de collection do
system.profileou se executar com--oplogReplay, você precisará de privilégios adicionais:system.profileSe os dados de backup incluírem dados de coleta
system.profilee o banco de dados de destino não contiver a coleçãosystem.profile,mongorestoretentará criar a coleção mesmo que o programa não restauresystem.profiledocumentos. Como tal, o usuário requer privilégios adicionais para executarcreateCollectioneconvertToCappedações na coleçãosystem.profilepara um banco de dados.As funções incorporadas
dbAdminedbAdminAnyDatabasefornecem os privilégios adicionais.--oplogReplayPara executar com
--oplogReplay, crie um role definido pelo usuário que tenhaanyActionemanyResource.Conceda somente aos usuários que devem executar
mongorestorecom--oplogReplay.Fornece a seguinte ação no cluster como um todo:
Fornece as seguintes ações em todas as collections que não são do sistema:
Fornece as seguintes ações na collection
system.js:Fornece a seguinte ação em
anyResource:Fornece as seguintes ações em todas as collections não relacionadas ao sistema no
confige nos bancos de dadoslocal:Fornece as seguintes ações em
admin.system.versionFornece a seguinte ação em
admin.system.rolesFornece as seguintes ações em collections
admin.system.usersesystem.usersherdadas:Embora o
restoreinclua a capacidade de modificar os documentos na collectionadmin.system.usersutilizando operações de modificação normais, somente modifique esses dados utilizando os métodos de gerenciamento do usuário.Fornece a seguinte ação na collection
<database>.system.views:dropCollection(A partir do MongoDB 6.0)
No cluster como um todo, fornece as seguintes ações:
bypassWriteBlockingMode(A partir do MongoDB 6.0)setUserWriteBlockMode(A partir do MongoDB 6.0)
Roles de todos os bancos de dados
As roles a seguir estão disponíveis no banco de dados admin e fornecem privilégios que se aplicam a todos os bancos de dados, exceto local e config:
readAnyDatabaseFornece os mesmos privilégios somente leitura que
readem todos os bancos de dados, excetolocaleconfig. A role também fornece a açãolistDatabasesno cluster como um todo.Consulte também as roles
clusterManagereclusterMonitorpara acesso aos bancos de dadosconfigelocal.
readWriteAnyDatabaseFornece os mesmos privilégios que
readWriteem todos os bancos de dados, excetolocaleconfig. A role também oferece:a ação
listDatabasesno cluster como um todo
Consulte também as roles
clusterManagereclusterMonitorpara acesso aos bancos de dadosconfigelocal.
userAdminAnyDatabaseFornece o mesmo acesso às operações de administração do usuário como
userAdminem todos os bancos de dados, excetolocaleconfig.userAdminAnyDatabasetambém fornece as seguintes ações de privilégio no cluster:A role fornece as seguintes ações de privilégio nas collections
system.usersesystem.rolesno banco de dadosadmine nas collectionssystem.usersherdadas de versões do MongoDB anteriores à 2.6:A role
userAdminAnyDatabasenão restringe os privilégios que um usuário pode conceder. Como resultado, os usuáriosuserAdminAnyDatabasepodem conceder a si mesmos privilégios além dos atuais e até mesmo conceder a si mesmos todos os privilégios, mesmo que a role não autorize explicitamente privilégios além da administração do usuário. Essa role é efetivamente um superusuáriodo sistema MongoDB.Consulte também as roles
clusterManagereclusterMonitorpara acesso aos bancos de dadosconfigelocal.
dbAdminAnyDatabaseFornece os mesmos privilégios que
dbAdminem todos os bancos de dados, excetolocaleconfig. A role também fornece a açãolistDatabasesno cluster como um todo.Consulte também as roles
clusterManagereclusterMonitorpara acesso aos bancos de dadosconfigelocal.A partir do MongoDB 5.0,
dbAdminAnyDatabaseinclui a ação de privilégio applyOps .
Roles de superusuário
Várias roles fornecem acesso indireto ou direto ao superusuário em todo o sistema.
As roles a seguir permitem atribuir a qualquer usuário qualquer privilégio em qualquer banco de dados, o que significa que os usuários com uma dessas roles podem atribuir a si mesmos qualquer privilégio em qualquer banco de dados:
A role
dbOwner, quando definido o escopo para o banco de dadosadminA role
userAdmin, quando definido o escopo para o banco de dadosadminuserAdminAnyDatabasepapel
A seguinte role fornece privilégios totais em todos os recursos:
rootFornece acesso às operações e a todos os recursos das seguintes roles combinadas:
Também fornece a ação de privilégio
validateem collectionssystem..Alterado na versão 6.0: A role
rootinclui privilégiosfinderemovena collectionsystem.preimagesno banco de dadosconfig.
Role interna
__systemO MongoDB atribui essa role a objetos de usuário que representam nós do cluster, como nós do conjunto de réplicas e instâncias
mongos. A role garante ao seu titular o direito de tomar qualquer ação contra qualquer objeto do banco de dados.Não atribua essa role a objetos de usuário que representam aplicativos ou administradores humanos, exceto em circunstâncias excepcionais.
Se você precisar de acesso a todas as ações em todos os recursos, por exemplo, para executar comandos
applyOps, não atribua essa role. Em vez disso, crie uma role definida pelo usuário que concedaanyActionemanyResourcee garanta que somente os usuários que precisam de acesso a essas operações tenham esse acesso.