4

Estoy algo confundido y no sé que sea lo correcto, cree al usuario administrador de Mongo:

mongo

use admin

db.createUser({user:'admin',pwd:'admin',roles:[{role:'userAdminAnyDatabase',db:'admin'}]})

Después cree una base de datos llamada escuela, con su respectivo usuario:

 use escuela

 db.createUser({user:'maestro1',pwd:'123',roles:[{role:'readWrite',db:'escuela'}]})

Despues volví a acceder a la base de admin y creé otro usuario:

use admin

db.createUser({user:'maestro2',pwd:'123',roles:[{role:'readWrite',db:'escuela'}]})

Y la pregunta es: ¿los usuarios siempre se deben de crear en la base de admin o debe de ser en su propia base?

Ya que maestro1 se autentica con escuela y maestro2 con admin:

 "_id" : "escuela.maestro1",
        "userId" : UUID("3bf106c9-14fd-4238-a53a-501e4efc7fe3"),
        "user" : "maestro1",
        "db" : "escuela",
    ....

    "roles" : [ 
            {
                "role" : "readWrite",
                "db" : "escuela"
            }

  "_id" : "admin.maestro2",
        "userId" : UUID("1bfws6c9-14fd-2218-aq3a-op9e4efc7ajm"),
        "user" : "maestro2",
        "db" : "admin",

    ...

    "roles" : [ 
            {
                "role" : "readWrite",
                "db" : "escuela"
            }

¿Cuál es lo correcto?

1 respuesta 1

2

Lo primero que tienes que tener en cuenta es que autenticación y autorización son distintos. Con el primero sabes quién eres y con el segundo sabes qué puedes hacer.

Con esto claro, puedo tratar de darte una idea de como funciona la autenticación en MongoDB. Lo que has hecho es crear dos usuarios, maestro1 y maestro2 para que tengan acceso a la base de datos escuela, ¿cierto? A maestro1 le has creado el acceso en la base de datos admin, mientras que a maestro2 le has creado el acceso en la base de datos escuela. Eso quiere decir:

  • El usuario maestro1 puede loguearse a MongoDB mediante admin y tiene permisos readWrite para la base de datos escuela
  • El usuario maestro2 puede loguearse a MongoDB mediante escuela y tiene permisos readWrite para la base de datos escuela

Probemos loguear a maestro1 mediante escuela:

$ mongo -u maestro1 -p --authenticationDatabase escuela
MongoDB shell version v3.4.5-rc4
Enter password: 
connecting to: mongodb://127.0.0.1:27017
MongoDB server version: 3.4.5-rc4
rs:PRIMARY> 

Probemos loguear a maestro1 mediante admin:

$ mongo -u maestro1 -p --authenticationDatabase admin
MongoDB shell version v3.4.5-rc4
Enter password: 
connecting to: mongodb://127.0.0.1:27017
MongoDB server version: 3.4.5-rc4
2019-07-06T19:15:21.849-0500 E QUERY    [thread1] Error: Authentication failed. :
DB.prototype._authOrThrow@src/mongo/shell/db.js:1459:20
@(auth):6:1
@(auth):1:2
exception: login failed

Probemos loguear maestro2 mediante escuela:

$ mongo -u maestro2 -p --authenticationDatabase escuela
MongoDB shell version v3.4.5-rc4
Enter password: 
connecting to: mongodb://127.0.0.1:27017
MongoDB server version: 3.4.5-rc4
2019-07-06T19:16:06.752-0500 E QUERY    [thread1] Error: Authentication failed. :
DB.prototype._authOrThrow@src/mongo/shell/db.js:1459:20
@(auth):6:1
@(auth):1:2
exception: login failed

Probemos loguear a maestro2 mediante admin:

$ mongo -u maestro2 -p --authenticationDatabase admin
MongoDB shell version v3.4.5-rc4
Enter password: 
connecting to: mongodb://127.0.0.1:27017
MongoDB server version: 3.4.5-rc4
rs:PRIMARY> 

Todo funciona bien según lo has definido.

¿Con qué base de datos se realiza la autenticación en MongoDB?

Pues, como acabas de comprobar, puedes loguearte con cualquiera. En mi caso, yo prefiero crear todos los accesos dentro de admin para que al momento de loguearme tenga siempre que usar el mismo argumento:

$ mongo -u XXXXXX -p --authenticationDatabase admin

Creeme, te vas a evitar dolores de cabeza de esta forma cuando intentes recordar mediante qué base de datos has creado la autenticación a un usuario.

Bonus

Como te mencioné, autenticación y autorización son dos cosas distintas. Ambos usuarios pueden loguearse mediante bases de datos distintas y ambos tienen el mismo permiso para la base de datos escuela.

Con maestro1:

$ mongo -u maestro1 -p --authenticationDatabase escuela
MongoDB shell version v3.4.5-rc4
Enter password: 
connecting to: mongodb://127.0.0.1:27017
MongoDB server version: 3.4.5-rc4
rs:PRIMARY> use escuela
switched to db escuela
rs:PRIMARY> db.getCollectionNames()
[ ]

Con maestro2:

$ mongo -u maestro2 -p --authenticationDatabase admin
MongoDB shell version v3.4.5-rc4
Enter password: 
connecting to: mongodb://127.0.0.1:27017
MongoDB server version: 3.4.5-rc4
rs:PRIMARY> use escuela
switched to db escuela
rs:PRIMARY> db.getCollectionNames()
[ ]

Claro, ninguno tiene acceso a otra base de datos:

rs:PRIMARY> use universidad
switched to db universidad
rs:PRIMARY> db.getCollectionNames()
2019-07-06T19:24:31.923-0500 E QUERY    [thread1] Error: listCollections failed: {
    "ok" : 0,
    "errmsg" : "not authorized on universidad to execute command { listCollections: 1.0, filter: {} }",
    "code" : 13,
    "codeName" : "Unauthorized"
} :
_getErrorWithCode@src/mongo/shell/utils.js:25:13
DB.prototype._getCollectionInfosCommand@src/mongo/shell/db.js:805:1
DB.prototype.getCollectionInfos@src/mongo/shell/db.js:817:19
DB.prototype.getCollectionNames@src/mongo/shell/db.js:828:16
@(shell):1:1

Era de esperar. No tienen ningun rol definido para la base de datos universidad.

Repito, puedes usar cualquier base de datos para la autenticación, es decir, vas a poder entrar a la terminal de MongoDB pero tus acciones se verán limitadas por lo que hayas definido por el lado de la autorización.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.