組み込みロール に必要な権限セットが含まれていない場合は、Atlas でカスタムロールを作成できます。 Atlas は、各データベースユーザーのカスタムロールを次の内容とともに適用します。
組み込みロールを割り当てるのは、データベースユーザーを追加するとき、またはデータベースユーザーを変更するときです。
データベースユーザーを追加 するとき、またはデータベースユーザーを変更 するときに割り当てる 特定の権限 。
各データベース ユーザーに複数のカスタムロールを割り当てることができます。
権限アクション（カスタムロールで使用可能）とカスタムロールAPIは、組み込みロールで使用可能な権限アクションのサブセットを表します。
カスタムロール権限のリストを確認するには、API リファレンスを参照してください。
Considerations
重要
Atlas クラスターでデータベースロールを追加、変更、または削除するには、 Atlas CLI 、 Atlas Administration API、 Atlas UI 、またはサポートされている 統合 を使用する必要があります。そうでない場合、Atlas はすべてのロールの修正をロールバックします。
1 人のデータベースユーザーに最大 20 のカスタムロールを割り当てることができます
100デフォルトでプロジェクトごとに最大 のカスタムロールを作成できます。重要:プロジェクトごとに追加のカスタムロールが必要な場合は、 1400Set One Project Limit エンドポイントを使用して Atlas Administration APIからカスタムロールの数を最大 まで増やすことができます。
Atlas は、プロジェクトの アクティビティ フィード 内のカスタム MongoDB ロールの作成、削除、更新を監査します。
ユーザーに複数のロールを割り当て、それらのロールがオブジェクトに対して競合する権限を付与する場合、Atlas はロール内で最も高い権限を尊重します。
以下に例を挙げます。
2 つのカスタムロールを作成し、両方をユーザー A に割り当てます。
最初のカスタムロールは、データベースに対する
read権限のみを付与します。また、データベースに bypassDocumentValidation も付与します。2
dbAdmin番目のロールには、データベースに対する 特権が付与されます。バイパス権限の暗黙的な拒否である bypassDocumentValidation は付与されません。
dbAdminのほうがデータベース アクセス権限が高いため、ユーザー A はデータベースに対するすべてのdbAdmin権限を持ちます。bypassDocumentValidation はより上位のバイパス権限であるため、ユーザー A にも bypassDocumentValidation が付与されます。
必要なアクセス権
カスタムデータベースロールを構成するには、Atlas に対する Organization Owner、Project Owner、または Project Database Access Admin としてのアクセス権が必要です。
カスタムロールを追加する
Atlas CLI を使用してプロジェクトのカスタム データベース ロールを作成するには、以下のコマンドを実行します。
atlas customDbRoles create <roleName> [options]
コマンド構文とパラメータについて詳しくは、Atlas CLI ドキュメントで atlas customDbRoles create をご覧ください。
Atlas Administration APIでカスタムロールを作成するには、「 Create One 」を参照してください。
Atlas UI でカスタムロールを作成するには、次の手順を行います。
AtlasDatabase & Network Access で、プロジェクトの ページに移動します。
まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
データベース &上記の手順を完了すると、[ ネットワーク アクセス ] ページが表示されます。
ロール情報を入力します。
フィールド | 説明 |
|---|---|
Custom Role Name | カスタムロール名。 重要: 指定されたロール名には、文字、数字、アンダーバーまたはハイフンのみを含めることができます。また、次のいずれかの条件を満たすロール名は指定できません。
|
Action or Role | ロールによって付与される特権。利用可能な特権アクション と ロール を一覧表示するには、ドロップダウンをクリックします。 Atlas はアクションとロールを次のカテゴリに分類します。
1 つのカテゴリからアクションまたはロールを選択します。アクションまたはロールを選択すると、Atlas により、次の例外を除いたカテゴリが無効になります。Global Actions and Roles からアクションまたはロールを選択した場合でも、Custom Roles からもアクションやロールを選択できます。 別カテゴリのアクションとロールを付与するには、[Add an action or role] をクリックして新しい行を追加します。 Atlas は、プロジェクト内のどのクラスター バージョンでも使用できないアクションを無効にします。カスタムロールはプロジェクト レベルで定義され、プロジェクトのクラスターで使用される各 MongoDB バージョンと互換性がある必要があります。 |
Database | 選択したアクションとロールが付与されるデータベース（該当する場合）。 データベースを指定するには、データベース名を入力するか、Apply to any database を選択します。 警告: Apply to any databaseを選択した場合、ロールは このフィールドは、Collection Actions および Database Actions and Roles カテゴリのすべてのロールとアクションに必須です。 |
Collection | 指定のデータベース内で、アクションとロールが付与されるコレクション（該当する場合）。 コレクションを指定するには、コレクション名を入力するか、Apply to any collection を選択します。 警告： Apply to any collectionを選択した場合、ロールは このフィールドは、Collection Actions のすべてのロールとアクションに必須です。 |
複数のデータベースとコレクションに同じ権限セットを付与するには、[Add a database or collection] をクリックします。
カスタムロールを表示する
Atlas CLI を使用してプロジェクトのすべてのカスタム データベース ロールを一覧表示するには、次のコマンドを実行します。
atlas customDbRoles list [options]
Atlas CLI を使用して指定したプロジェクト内の単一のカスタム データベース ロールの詳細を返すには、次のコマンドを実行します。
atlas customDbRoles describe <roleName> [options]
前のコマンドの構文とパラメーターについて詳しくは、Atlas CLI ドキュメントの customDbRoles list および customDbRolesAtlas describeAtlasを参照してください。
Atlas Administration API でカスタムロールを表示するには、「Get All」を参照してください。
Atlas UI でカスタムロールを表示する方法は次の通りです。
AtlasDatabase & Network Access で、プロジェクトの ページに移動します。
まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
データベース &上記の手順を完了すると、[ ネットワーク アクセス ] ページが表示されます。
カスタムロールを変更する
Atlas CLI を使用してプロジェクトのカスタム データベース ロールをアップデートするには、次のコマンドを実行します。
atlas customDbRoles update <roleName> [options]
コマンドの構文とパラメータについて詳しくは、Atlas CLI ドキュメントで atlas customDbRoles update をご覧ください。
Atlas Administration API でカスタムロールを変更するには、「Update One」を参照してください。
Atlas UI でカスタムロールを変更するには、次の手順を行います。
AtlasDatabase & Network Access で、プロジェクトの ページに移動します。
まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
データベース &上記の手順を完了すると、[ ネットワーク アクセス ] ページが表示されます。
カスタムロールを削除する
Atlas CLI を使用してプロジェクトからカスタム データベース ロールを削除するには、次のコマンドを実行します。
atlas customDbRoles delete <roleName> [options]
コマンドの構文とパラメータについて詳しくは、Atlas CLI ドキュメントの atlas customDbRoles delete を参照してください。
Atlas Administration APIでカスタムロールを削除するには、「 Remove One 」を参照してください。
Atlas UI でカスタムロールを削除するには、次の手順を行います。
AtlasDatabase & Network Access で、プロジェクトの ページに移動します。
まだ表示されていない場合は、プロジェクトを含む組織をナビゲーション バーの Organizations メニューで選択します。
まだ表示されていない場合は、ナビゲーション バーの Projects メニューからプロジェクトを選択します。
サイドバーで、 Security見出しの下のDatabase & Network Accessをクリックします。
データベース &上記の手順を完了すると、[ ネットワーク アクセス ] ページが表示されます。
次のシナリオではカスタムロールを削除できません。
ロールを削除すると、親ロールまたはアクションのない 1 つ以上の子ロールが残ります。
ロールを削除すると、ロールを持たない 1 人以上の データベース ユーザー が残ります。
カスタムロールを割り当てる
データベースユーザーを追加 するとき、またはデータベースユーザーを変更 するときに、Atlas UIでカスタムロールを割り当てることができます。 Atlas 管理APIを通じてカスタムロールを割り当てるには、「 データベース ユーザーの作成 」または「 データベース ユーザーの更新 」を参照してください。