db.createUser()

定义

db.createUser(user, writeConcern)

为运行该方法的数据库创建新用户。如果数据库中已存在用户，则 db.createUser() 返回重复用户错误。

db.createUser() 方法使用的语法如下：

字段	类型	说明
user	文档	包含有关要创建的用户的身份验证和访问权限信息的文档。
writeConcern	文档	可选。 该操作的写关注（write concern）级别。 请参阅写关注规范。

user 文档定义用户并具有以下形式：

提示

您可以将passwordPrompt()方法与各种用户身份验证/管理方法/命令结合使用，以提示输入密码，而不是直接在方法/命令调用中指定密码。 但是，您仍然可以像使用早期版本的mongo shell一样直接指定密码。

{
  user: "<name>",
  pwd: passwordPrompt(),      // Or  "<cleartext password>"
  customData: { <any information> },
  roles: [
    { role: "<role>", db: "<database>" } | "<role>",
    ...
  ],
  authenticationRestrictions: [
     {
       clientSource: ["<IP>" | "<CIDR range>", ...],
       serverAddress: ["<IP>" | "<CIDR range>", ...]
     },
     ...
  ],
  mechanisms: [ "<SCRAM-SHA-1|SCRAM-SHA-256>", ... ],
  passwordDigestor: "<server|client>"
}

user 文档包含以下字段：

字段	类型	说明
user	字符串	新用户的名称。
pwd	字符串	用户的密码。如果您在 $external 数据库上运行 db.createUser()，以创建凭证存储在 MongoDB 外部的用户，则无需 pwd 字段。 该值可为以下任一项： 以明文字符串表示的用户密码，或 passwordPrompt() 提示输入用户密码。 您可以将passwordPrompt()方法与各种用户身份验证/管理方法/命令结合使用，以提示输入密码，而不是直接在方法/命令调用中指定密码。 但是，您仍然可以像使用早期版本的mongo shell一样直接指定密码。
customData	文档	可选。任意信息。此字段可用于存储管理员希望与此特定用户关联的任何数据。例如，这可以是用户的全名或员工 ID。
roles	阵列	授予用户的角色。可以指定一个空数组 []，以创建无角色的用户。
authenticationRestrictions	阵列	可选。服务器对创建的用户实施的身份验证限制。指定 IP 地址和 CIDR 范围列表，允许这些地址和范围的用户连接至服务器或者服务器接受这些用户。 版本 3.6 中的新增功能。
mechanisms	阵列	可选。指定特定的 SCRAM 机制或用于创建 SCRAM 用户档案的机制。如果指定了authenticationMechanisms，则只能指定authenticationMechanisms的子集。 有效值为： "SCRAM-SHA-1" 使用 SHA-1 哈希函数。 "SCRAM-SHA-256" 使用 SHA-256 哈希函数。 要求 passwordDigestor 为server。 默认为 SCRAM-SHA-1 和 SCRAM-SHA-256。
passwordDigestor	字符串	可选。指示对密码进行摘要处理的是服务器还是客户端。 可用值为： "server" （默认） 服务器会从客户端接收未加密的密码，然后对此密码进行加密。 "client" （与 SCRAM-SHA-256 不兼容） 客户端会对该密码进行哈希，并将哈希后的密码传递给服务器。

"readWrite"

{ role: "<role>", db: "<database>" }

兼容性

此方法可用于以下环境中托管的部署：

• MongoDB Enterprise：基于订阅、自我管理的 MongoDB 版本

• MongoDB Community：源代码可用、免费使用且可自行管理的 MongoDB 版本

行为

必需的访问权限

• 要在数据库中创建新用户，您必须对该数据库资源执行 createUser 操作。

• 要向用户授予角色，必须对该角色的数据库执行 grantRole 操作。

userAdmin 和 userAdminAnyDatabase 内置角色提供对资源的 createUser 和 grantRole 动作。

示例

以下 db.createUser() 操作在 products 数据库中创建 accountAdmin01 用户。

use products
db.createUser( { user: "accountAdmin01",
                 pwd: passwordPrompt(),  // Or  "<cleartext password>"
                 customData: { employeeId: 12345 },
                 roles: [ { role: "clusterAdmin", db: "admin" },
                          { role: "readAnyDatabase", db: "admin" },
                          "readWrite"] },
               { w: "majority" , wtimeout: 5000 } )

此操作会赋予 accountAdmin01 以下角色：

• admin 数据库上的 clusterAdmin 和 readAnyDatabase 角色

• 针对 products 数据库的 readWrite 角色

use products
db.createUser(
   {
     user: "accountUser",
     pwd: passwordPrompt(),  // Or  "<cleartext password>"
     roles: [ "readWrite", "dbAdmin" ]
   }
)

use admin
db.createUser(
   {
     user: "reportsUser",
     pwd: passwordPrompt(),  // Or  "<cleartext password>"
     roles: [ ]
   }
)

use admin
db.createUser(
   {
     user: "appAdmin",
     pwd: passwordPrompt(),   // Or  "<cleartext password>"
     roles:
       [
         { role: "readWrite", db: "config" },
         "clusterAdmin"
       ]
   }
)

use admin
db.createUser(
   {
     user: "restricted",
     pwd: passwordPrompt(),      // Or  "<cleartext password>"
     roles: [ { role: "readWrite", db: "reporting" } ],
     authenticationRestrictions: [ {
        clientSource: ["192.0.2.0"],
        serverAddress: ["198.51.100.0"]
     } ]
   }
)

use reporting
db.createUser(
   {
     user: "reportUser256",
     pwd: passwordPrompt(),   // Or  "<cleartext password>"
     roles: [ { role: "readWrite", db: "reporting" } ],
     mechanisms: [ "SCRAM-SHA-256" ]
   }
)