Как работает авторизация в Mongo?

Question

[Рустем Ворожейкин]

Здраствуйте.
На сервере имеется установленная монго версии 2.4.9.
По-умолчанию в конфиге строка auth=true закоментирована.
В монго созданы пользователи:

> use admin
switched to db admin
> show users
{
	"_id" : ObjectId("55631c4ced1bdfc880fda8e0"),
	"user" : "admin",
	"pwd" : "f306c561a12b1be8478e4cc3b460433a",
	"roles" : [
		"userAdminAnyDatabase",
		"dbAdminAnyDatabase",
		"readWriteAnyDatabase"
	]
}
{
	"_id" : ObjectId("5563371cb7537b3e14bdfb4b"),
	"user" : "rUser",
	"pwd" : "eee18df57c91293310dbf78649955a84",
	"roles" : [
		"readAnyDatabase"
	]
}

Когда в конфиге убираю решетку у строки "#auth=true" и остается "auth=true", то при вызове команды "mongo" вхожу в косоль монго, но базы данных само собой не вижу (на команду "show dbs" получаю ошибку "...listDatabases failed:{ "ok" : 0, "errmsg" : "unauthorized" }...").
Но почему возникает эта ошибка:

> use admin
switched to db admin
> db.auth('admin', 'password')
1
> show dbs
Tue May 26 19:48:05.074 listDatabases failed:{ "ok" : 0, "errmsg" : "unauthorized" } at src/mongo/shell/mongo.js:46

Comments

[lega]

Как вы пользователей добавили?

[Рустем Ворожейкин]

lega: добрый день)

>use admin
>db.addUser({user:'name', pwd:'password', roles:['роли как выше']})

Так же ошибку выдает при попытки вывести названия всех таблиц через pymongo.
Код:

import pymongo
from pymongo import MongoClient
client = MongoClient('52.74.129.134', 27017)
client.admin.authenticate('admin', 'dashboard')
print(client.admin.collection_names())
print(client.database_names())

При вызове данного кода сначала выводит строку:
[u'system.indexes', u'system.users']
А следом за ней ошибку:

raise OperationFailure(msg % errmsg, code, response)
pymongo.errors.OperationFailure: command SON([('listDatabases', 1)]) on namespace admin.$cmd failed: unauthorized

Я так понял я получаю доступ к одной базе "admin", но разве права которые я предоставил для пользователя admin не должны предоставлять доступ к другим базам mongo? при авторизации в консоли монго через db.auth('admin','password) я спокойно вывожу все коллекции командой "show collections", но не могу вывести названия всех баз данных командой "show dbs".

Все эти ошибки происходят при не закоменченном параметре auth=true в конфиге монго, но стоит закоментить строку #auth=true (как стоит по-умолчанию), то я прекрасно подсоединяюсь к базе и без логина, пароля и с ними. Но задумка такова, чтобы добавить пользователей с разными правами. И подсоединяться к базе через pymongo. А дальше уже в зависимости от прав, либо лишь смотреть, либо копировать данные, либо что-то еще.

Answer 1

[lega]

У меня работает:

Запустил сервер:

$ mongod --auth --dbpath /tmp/1 --smallfiles --port 27020

Добавляю пользователя:

$ mongo --port 27020
MongoDB shell version: 2.6.10
connecting to: 127.0.0.1:27020/test
> show dbs
admin  (empty)
local  0.031GB
> use admin
switched to db admin
> db.addUser({user:'name', pwd:'password', roles:["userAdminAnyDatabase","dbAdminAnyDatabase", "readWriteAnyDatabase"]})
WARNING: The 'addUser' shell helper is DEPRECATED. Please use 'createUser' instead
Successfully added user: {
        "user" : "name",
        "roles" : [
                "userAdminAnyDatabase",
                "dbAdminAnyDatabase",
                "readWriteAnyDatabase"
        ]
}
> exit
bye

Проверяю:

$ mongo --port 27020
MongoDB shell version: 2.6.10
connecting to: 127.0.0.1:27020/test
> show dbs
2015-05-27T16:35:46.071+0500 listDatabases failed:{
        "ok" : 0,
        "errmsg" : "not authorized on admin to execute command { listDatabases: 1.0 }",
        "code" : 13
} at src/mongo/shell/mongo.js:47
> use admin
switched to db admin
> db.auth('name', 'password')
1
> show dbs
admin  0.031GB
local  0.031GB

Т.е. при подключении нет прав до авторизации.

Как вариант, можете попробовать обновится на 2.6, там не много изменений.

Comments

[Рустем Ворожейкин]

благодарю за ответ. у меня тоже заработало. правда возникла новая ошибка.
у меня имеются два удаленных сервера. на одной база "test_db" и на другой. Мне надо скопировать содержимое базы с одного сервера на вторую. я создал пользователя root в базе admin на обеих серверах. Указал им права "readWrite", "userAdmin", "dbAdmin", "readWriteAnyDatabase", "userAdminAnyDatabase", "dbAdminAnyDatabase". На этим базам (test_db) указал пользователя "user" с правами "read". При попытке скопировать данные с включенным "auth=true" ничего не выходит, а при отключенном "#auth=true" все копируется. Не знаете в чем может быть проблема? Может прав указал не достаточно?
Ниже кусок кода pymongo:

client_to_copy = MongoClient(host_group2, port_group2)
client_to_copy.admin.authenticate(login_group2, password_group2)
client_to_copy.admin.command(
				'copydb',
				fromdb='shoppr_usercontent_db',
				todb='shoppr_usercontent_db',
				fromhost=host_group1
				)

[lega]

Рустем Ворожейкин: я для разового копирования использую дамп-рестор, если нужна синхронизация - реплика. Разработчики рекомендуют использовать защиту средствами ОС вместо логин-пароля, я юзаю iptables, docker.

[Рустем Ворожейкин]

lega: дело в том, что мне нужно реализовать веб сайт, где нажав на кнопочку все данные копируются с сервера X на сервер Y и при этом на обоих серверах нужна авторизация по логину и паролю. я почти данную задачу реализовал, но в последний момент оказалось, что поля password как такового в client.admin.command('copydb') не имеется. Вот перенес вопрос Как скопировать базу данных mongo с сервера используя pymongo? Надеюсь кто-то поможет.

[lega]

Рустем Ворожейкин: попробуйте сделать авторизацию не на базе, а на самом монгоКлиенте

[lega]

Рустем Ворожейкин: посмотрите что ф-я авторизации возвращает

[Рустем Ворожейкин]

lega: Не совсем понял какую именно авторизацию) поэтому скину 3 =)
На самом сервере:

> show dbs
Thu May 28 00:25:13.202 listDatabases failed:{ "ok" : 0, "errmsg" : "unauthorized" } at src/mongo/shell/mongo.js:46
> use admin
switched to db admin
> db.auth('root','password')
1
> show dbs
admin	0.203125GB
local	0.078125GB
...

В pymongo на своем компе:

client2 = MongoClient('52.76.49.245', 27017)	
client2.admin.authenticate('root2', 'password')
print(client2.shoppr_backend_db.collection_names())

Результат: выводит список коллекций в данной базе.
А вот тут как я понял нужно указать какой-то hash пароля (не сталкивался еще с таким):

client = MongoClient()
client.admin.command(
          'copydb',
          fromdb='shoppr_backend_db',
          todb='del4',
          fromhost='52.76.49.245',
          username='root2',
          key=''
          )

Так как выдает ошибку:

...on namespace admin.$cmd failed: exception: nextSafe(): { $err: "not authorized for query on shoppr_backend_db.system.namespaces", code: 16550 }

Если вы имели запрос вида

$ mongo -u USER -p PASSWORD --authenticationDatabase admin

То он выдал следующее.

$ mongo -u root -p password --authenticationDatabase admin 
MongoDB shell version: 2.4.9
connecting to: test
> show dbs
admin	0.203125GB
local	0.078125GB
>