Roles de funcionalidad incorporada

Roles de usuario de base de datos

Cada base de datos incluye los siguientes roles de cliente:

read

Ofrece la capacidad de leer datos en todas las colecciones que no son del sistema y en la colección system.js.

Nota

El rol no otorga privilegios para acceder directamente a la colección system.namespaces.

El rol otorga acceso de lectura al conceder las siguientes acciones:

• changeStream

• collStats

• dbHash

• dbStats

• find

• killCursors

• listCollections

• listIndexes

• listSearchIndexes

Si el usuario no tiene la acción de privilegio listDatabases, los usuarios pueden ejecutar el comando listDatabases para devolver una lista de bases de datos para las que el usuario tiene privilegios (incluidas las bases de datos para las que el usuario tiene privilegios en colecciones específicas) si el comando se ejecuta con la opción authorizedDatabases sin especificar o establecida como true.

readWrite

Brinda todos los privilegios del rol read más la capacidad de modificar datos en todas las colecciones que no sean del sistema y en la colección system.js.

El rol otorga las siguientes acciones en esas colecciones:

• changeStream

• collStats

• convertToCapped

• createCollection

• dbHash

• dbStats

• dropCollection

• createIndex

• dropIndex

• find

• insert

• killCursors

• listCollections

• listIndexes

• listSearchIndexes

• remove

• renameCollectionSameDB

• update

Roles de Administración de Bases de Datos

Cada base de datos incluye los siguientes roles de administración de bases de datos:

dbAdmin

Proporciona la capacidad de realizar tareas administrativas, como tareas relacionadas con esquemas, la indexación y la recopilación de estadísticas. Este rol no otorga privilegios para la gestión de usuarios y roles.

Específicamente, el rol otorga los siguientes privilegios:

Resource	Acciones permitidas
system.profile	changeStream collStats convertToCapped createCollection dbHash dbStats dropCollection find killCursors listCollections listIndexes listSearchIndexes planCacheRead
Todas las colecciones que no son del sistema (es decir, recurso de base de datos)	bypassDocumentValidation collMod collStats compact convertToCapped createCollection createIndex dbStats dropCollection dropDatabase dropIndex enableProfiler listCollections listIndexes listSearchIndexes planCacheIndexFilter planCacheRead planCacheWrite reIndex renameCollectionSameDB storageDetails validate Para estas colecciones, dbAdmin no incluye acceso completo de lectura (es decir, find).

dbOwner

El propietario de la base de datos puede realizar cualquier acción administrativa en la base de datos. Este rol combina los privilegios otorgados por los roles readWrite, dbAdmin y userAdmin.

userAdmin

Proporciona la capacidad de crear y modificar roles y usuarios en la base de datos actual. Dado que el rol userAdmin permite a los usuarios otorgar cualquier privilegio a cualquier usuario, incluidos ellos mismos, el rol también proporciona indirectamente acceso de superuser a la base de datos o, si está limitado al ámbito de la base de datos admin, al clúster.

El rol userAdmin brinda explícitamente las siguientes acciones:

• changeCustomData

• changePassword

• createRole

• createUser

• dropRole

• dropUser

• grantRole

• revokeRole

• setAuthenticationRestriction

• viewRole

• viewUser

Advertencia

Es importante comprender las implicancias de seguridad de otorgar el rol userAdmin: un usuario con este rol para una base de datos puede asignarse cualquier privilegio en esa base de datos. Conceder el rol de userAdmin en la base de datos admin tiene implicancias de seguridad adicionales, ya que esto ofrece indirectamente acceso de superusuario a un clúster. Con el alcance de admin, un usuario con el rol userAdmin puede otorgar roles o privilegios a nivel de clúster, incluyendo userAdminAnyDatabase.

Roles de administración de clústeres

La base de datos admin incluye los siguientes roles para la administración de todo el sistema en lugar de solo una base de datos. Estos roles incluyen, pero no se limitan a funciones administrativas de sets de réplicas y clústeres particionados.

clusterAdmin

Ofrece el acceso más completo para la gestión de clústeres. Este rol combina los privilegios concedidos por los roles clusterManager, clusterMonitor y hostManager. Además, el rol ofrece la acción dropDatabase.

clusterManager

Otorga acciones de gestión y supervisión en el clúster. Un usuario con este rol puede acceder a las bases de datos config y local, que se utilizan para la partición y la replicación, respectivamente.

Resource	Acciones
clúster	addShard appendOplogNote applicationMessage cleanupOrphaned flushRouterConfig getClusterParameter getDefaultRWConcern listSessions listShards removeShard replSetConfigure replSetGetConfig replSetGetStatus replSetStateChange resync setClusterParameter setDefaultRWConcern setFeatureCompatibilityVersion
Todo databases	clearJumboFlag enableSharding moveChunk refineCollectionShardKey reshardCollection clusterManager proporciona privilegios adicionales para las bases de datos config y local.

En la base de datos config permite las siguientes acciones:

Resource	Acciones
Todas las colecciones que no son del sistema en la base de datos config	collStats dbHash dbStats enableSharding find insert killCursors listCollections listIndexes listSearchIndexes moveChunk planCacheRead remove update
system.js	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead

En la base de datos local permite las siguientes acciones:

Resource	Acciones
Todas las colecciones que no son del sistema en la base de datos local	enableSharding insert moveChunk remove update
system.replset Colección	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead

clusterMonitor

Ofrece acceso de solo lectura a herramientas de supervisión, como MongoDB Cloud Manager y el agente de supervisión de Ops Manager.

Permite las siguientes acciones en el clúster en su totalidad:

connPoolStats getCmdLineOpts getDefaultRWConcern getLog getParameter getShardMap hostInfo inprog

listDatabases listSessions listShards replSetGetConfig replSetGetStatus serverStatus shardingState top

Permite las siguientes acciones en todas las bases de datos del clúster:

• collStats

• dbStats

• indexStats

• useUUID

Permite la acción find en todas las colecciones system.profile en el clúster.

En la base de datos config permite las siguientes acciones:

Resource	Acciones
Todas las colecciones que no son del sistema en la base de datos config	collStats dbHash dbStats find indexStats killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.js Colección	collStats dbHash dbStats find killCursors listCollections listIndexes planCacheRead

En la base de datos local permite las siguientes acciones:

Resource	Acciones
Todas las colecciones que no son del sistema en la base de datos local	collStats dbHash dbStats find indexStats killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.js collection	collStats dbHash dbStats find killCursors listCollections listIndexes listSearchIndexes planCacheRead
system.replset, system.profile,	find

enableSharding

Proporciona la capacidad de habilitar el particionado para una colección y modificar las claves de partición existentes.

Proporciona las siguientes acciones en todas las colecciones no del sistema:

• enableSharding

• refineCollectionShardKey

• reshardCollection

hostManager

Proporciona la capacidad de supervisar y gestionar servidores.

En el clúster en su totalidad, otorga las siguientes acciones:

applicationMessage closeAllDatabases connPoolSync flushRouterConfig fsync invalidateUserCache

killAnyCursor killAnySession killop logRotate oidReset resync

rotateCertificates (Nuevo en la versión 5.0) setParameter shutdown touch unlock

En todas las bases de datos del clúster, otorga las siguientes acciones:

• killCursors

Roles de copia de seguridad y restauración

La base de datos admin incluye los siguientes roles para realizar copias de seguridad y restaurar datos:

backup

Ofrece los privilegios mínimos necesarios para realizar una copia de seguridad de los datos. Este rol proporciona privilegios suficientes para usar el agente de copias de seguridad de MongoDB Cloud Manager, el agente de copias de seguridad de Ops Manager o para usar mongodump para realizar una copia de seguridad de una instancia completa de mongod.

Otorga las acciones insert y update en la colección settings de la base de datos config.

En anyResource, proporciona el

• listDatabases acción

• listCollections acción

• listIndexes acción

• listSearchIndexes acción

En el clúster en su conjunto, proporciona el

• appendOplogNote

• getParameter

• listDatabases

• serverStatus

• setUserWriteBlockMode (A partir de MongoDB 6.0)

Otorga la acción find en lo siguiente:

• todas las colecciones que no son del sistema en el clúster, incluidas las de las bases de datos config y local

• Las siguientes colecciones del sistema en el clúster:

  system.js, y system.profile

• Las colecciones admin.system.users y admin.system.roles

• La colección config.settings

• Colecciones heredadas system.users de versiones de MongoDB anteriores a la 2.6

Otorga las acciones insert y update sobre la colección config.settings.

El rol backup otorga privilegios adicionales para respaldar la colección system.profile que existe cuando se ejecuta con perfilado de base de datos.

restore

Otorga convertToCapped en colecciones que no son del sistema.

Ofrece los privilegios necesarios para restaurar datos de las copias de seguridad si no se incluyen datos de la colección system.profile y se ejecuta mongorestore sin la opción --oplogReplay.

Si los datos de la copia de seguridad incluyen datos de la colección system.profile o si ejecutas con --oplogReplay, necesitas privilegios adicionales:

system.profile

Si los datos de copia de seguridad incluyen datos de la colección system.profile y la base de datos de destino no contiene la colección system.profile, mongorestore intenta crear la colección aunque el programa en realidad no restaura los documentos system.profile. Por lo tanto, el usuario requiere privilegios adicionales para realizar las acciones createCollection y convertToCapped en la colección system.profile de una base de datos. Tanto los roles incorporados dbAdmin como dbAdminAnyDatabase proporcionan los privilegios adicionales.

--oplogReplay

Para ejecutar con --oplogReplay, crea un rol definido por el usuario que tenga anyAction en anyResource. Se concede solo a los usuarios que deben ejecutar mongorestore con --oplogReplay.

Otorga la siguiente acción en el clúster en su totalidad:

• getParameter

Otorga las siguientes acciones en todas las colecciones que no son del sistema:

• bypassDocumentValidation

• changeCustomData

• changePassword

• collMod

• convertToCapped

• createCollection

• createIndex

• createRole

• createUser

• dropCollection

• dropRole

• dropUser

• grantRole

• insert

• revokeRole

• viewRole

• viewUser

Otorga las siguientes acciones en la colección system.js:

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• insert

Otorga la siguiente acción en anyResource:

• listCollections

Otorga las siguientes acciones en todas las colecciones que no son del sistema en las bases de datos config y local:

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• insert

Otorga las siguientes acciones en admin.system.version

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• find

• insert

Proporciona la siguiente acción en admin.system.roles

• createIndex

Proporciona las siguientes acciones en admin.system.users y colecciones heredadas de system.users:

• bypassDocumentValidation

• collMod

• createCollection

• createIndex

• dropCollection

• find

• insert

• remove

• update

Aunque restore incluye la capacidad de modificar los documentos en la colección admin.system.users mediante operaciones de modificación normales, solo modifica estos datos utilizando los métodos de gestión de usuarios.

Proporciona la siguiente acción en la colección <database>.system.views:

• dropCollection (A partir de MongoDB 6.0)

En el clúster en su totalidad, se otorgan las siguientes acciones:

• bypassWriteBlockingMode (A partir de MongoDB 6.0)

• setUserWriteBlockMode (A partir de MongoDB 6.0)

Roles de base de datos globales

Los siguientes roles están disponibles en la base de datos admin y otorgan privilegios que se aplican a todas las bases de datos excepto local y config:

readAnyDatabase

Proporciona los mismos privilegios de solo lectura que read en todas las bases de datos excepto local y config. El rol también proporciona la acción listDatabases en el clúster en su totalidad.

Consulta también los roles clusterManager y clusterMonitor para acceder a las bases de datos config y local.

readWriteAnyDatabase

Otorga los mismos privilegios que readWrite en todas las bases de datos excepto local y config. El rol también otorga:

• la acción listDatabases en el clúster en su totalidad

• la acción compactStructuredEncryptionData

Consulta también los roles clusterManager y clusterMonitor para acceder a las bases de datos config y local.

userAdminAnyDatabase

Proporciona el mismo acceso a las operaciones de administración de usuarios que userAdmin en todas las bases de datos excepto local y config.

userAdminAnyDatabase también otorga las siguientes acciones de privilegio en el clúster:

• authSchemaUpgrade

• invalidateUserCache

• listDatabases

El rol otorga las siguientes acciones de privilegio sobre las colecciones system.users y system.roles en la base de datos admin, y en las colecciones heredadas system.users de versiones de MongoDB anteriores a la 2.6:

• collStats

• dbHash

• dbStats

• find

• killCursors

• planCacheRead

• createIndex

• dropIndex

El rol userAdminAnyDatabase no restringe los privilegios que un usuario puede conceder. Como resultado, los usuarios de userAdminAnyDatabase pueden concederse a sí mismos privilegios que exceden sus privilegios actuales e incluso pueden concederse todos los privilegios, a pesar de que el rol no autoriza explícitamente privilegios más allá de la administración de usuarios. Este rol es efectivamente un superusuario del sistema MongoDB.

Consulta también los roles clusterManager y clusterMonitor para acceder a las bases de datos config y local.

dbAdminAnyDatabase

Otorga los mismos privilegios que dbAdmin en todas las bases de datos excepto local y config. El rol también ofrece la acción listDatabases en el clúster en su totalidad.

Consulta también los roles clusterManager y clusterMonitor para acceder a las bases de datos config y local.

A partir de MongoDB 5.0, dbAdminAnyDatabase incluye la acción de privilegio applyOps.

Roles de superusuario

Varios roles brindan acceso de superusuario, ya sea indirecto o directo, en todo el sistema.

Los siguientes roles proporcionan la capacidad de asignar a cualquier usuario cualquier privilegio en cualquier base de datos, lo que significa que los usuarios con uno de estos roles pueden asignarse a sí mismos cualquier privilegio en cualquier base de datos:

• el rol dbOwner, cuando se delimita al ámbito de la base de datos admin

• el rol userAdmin, cuando se delimita al ámbito de la base de datos admin

• userAdminAnyDatabase rol

El siguiente rol otorga privilegios completos sobre todos los recursos:

root

Proporciona acceso a las operaciones y a todos los recursos de los siguientes roles combinados:

• readWriteAnyDatabase

• dbAdminAnyDatabase

• userAdminAnyDatabase

• clusterAdmin

• restore

• backup

También proporciona la validate acción de privilegio en system. colecciones.

Cambiado en la versión 6.0: El rol root incluye find y remove privilegios en la colección system.preimages en la base de datos config.

Rol interno

__system

MongoDB asigna este rol a objetos de usuario que representan a los miembros del clúster, como los miembros del set de réplicas y las instancias de mongos. El rol otorga a su titular el derecho de realizar cualquier acción contra cualquier objeto en la base de datos.

No se debe asignar este rol a objetos de usuario que representen aplicaciones o administradores humanos, salvo en circunstancias excepcionales.

Si se necesita acceso a todas las acciones en todos los recursos, por ejemplo, para ejecutar comandos applyOps, no se debe asignar este rol. En su lugar, se debe crear un rol definido por el usuario que conceda anyAction en anyResource y asegurarse de que solo los usuarios que necesitan acceso a estas operaciones tengan ese acceso.