Docs 主页 → 开发应用程序 → MongoDB Manual
特权操作
特权操作定义了用户可以对资源执行的操作。MongoDB 特权包括资源和允许的操作。此页面列出了按常见用途分组的可用操作。
MongoDB 可提供内置角色以及“资源与允许操作”的预定义对。有关所授予操作的列表，请参阅内置角色。要定义自定义角色，请参阅创建用户定义的角色。
查询和写入操作
find用户可执行以下命令和等效的辅助方法：
aggregate适用于除$collStats$out和$indexStats之外的所有管道操作。geoSearch（在 MongoDB 5.0 中已删除）getLastError（在 MongoDB 5.1 中已删除）killCursors，但前提是此游标与当前已经过身份验证的用户相关联。mapReduce，带{out: inline}选项。resetError（在 MongoDB 5.0 中已删除）
输出至集合时，
mapReduce命令和db.collection.mapReduce()辅助方法的查询部分为必填项。findAndModify命令和db.collection.findAndModify()辅助方法的查询部分为必填项。cloneCollectionAsCapped和renameCollection命令以及db.collection.renameCollection()辅助方法的源集合为必填项。如果用户没有
listDatabases特权操作，则用户可以运行listDatabases命令以返回用户拥有特权的数据库列表（包括用户对特定集合拥有特权的数据库），前提是该命令在未指定authorizedDatabases选项或将其设置为true的情况下运行。将此操作应用于数据库或集合资源。
insert用户可执行以下命令及其等效方法：
输出至集合时，
mapReduce命令和db.collection.mapReduce()辅助方法的输出部分为必填项。使用
$out或$merge管道操作符时，aggregate命令和db.collection.aggregate()辅助方法为必填项。与
upsert选项一起使用时，update和findAndModify命令以及等效辅助方法为必填项。以下命令及其辅助方法的目标集合为必填项：
将此操作应用于数据库或集合资源。
remove用户可以执行
delete命令和等效的辅助方法。findAndModify命令和db.collection.findAndModify(){5} 方法的写入部分为必填项。当输出至集合时指定
replace操作时，mapReduce命令和db.collection.mapReduce()辅助方法为必填项。使用
$out管道操作符时，aggregate命令和db.collection.aggregate()辅助方法为必填项。将此操作应用于数据库或集合资源。
update用户可以执行
update命令和等效的辅助方法。在未指定
replace操作的情况下输出至集合时，mapReduce命令和db.collection.mapReduce()辅助方法为必填项。findAndModify命令和db.collection.findAndModify()辅助方法为必填项。将此操作应用于数据库或集合资源。
bypassDocumentValidation对于支持
bypassDocumentValidation选项的命令和方法，用户可以绕过文档验证。以下命令及其等效方法支持绕过文档验证：将此操作应用于数据库或集合资源。
数据库管理操作
changeCustomData用户可以更改给定数据库中任何用户的自定义信息。将此操作应用于数据库资源。
changeOwnCustomData用户可以更改自己的自定义信息。将此操作应用于数据库资源。另请参阅更改密码和自定义数据。
changeOwnPassword用户可以更改自己的密码。将此操作应用于数据库资源。另请参阅更改密码和自定义数据。
changePassword用户可以更改给定数据库中任何用户的密码。将此操作应用于数据库资源。
createCollection用户可以执行
db.createCollection()方法。将此操作应用于数据库或集合资源。
createIndex提供对
db.collection.createIndex()方法和createIndexes命令的访问权限。将此操作应用于数据库或集合资源。
createRole用户可在指定数据库中创建新角色。将此操作应用于数据库资源。
createUser用户可在给定数据库中创建新用户。将此操作应用于数据库资源。
dropCollection用户可以执行
db.collection.drop()方法。将此操作应用于数据库或集合资源。
dropRole用户可以从给定数据库中删除任何角色。将此操作应用于数据库资源。
dropUser用户可以从给定数据库中删除任何用户。将此操作应用于数据库资源。
enableProfiler用户可以执行
db.setProfilingLevel()方法。将此操作应用于数据库资源。
grantRole用户可以将数据库中的任何角色授予系统中任意数据库中的任意用户。将此操作应用于数据库资源。
killCursors从 MongoDB 4开始。 2 ，无论用户是否具有
killCursors的特权，用户始终可以终止自己的游标。因此，killCursors特权在 MongoDB 4中没有影响。 2 +。在 MongoDB 3中。 6 。 3到 MongoDB 4 。 0 .x，启用访问控制后，用户需要
killCursors特权才能终止自己的游标。创建游标时，游标与用户相关联。将此操作应用于集合资源。
killAnyCursor用户可以终止任何游标，甚至是其他用户创建的游标。将此操作应用于集合资源。
planCacheIndexFilter用户可以运行
planCacheClearFilters、planCacheListFilters和planCacheSetFilter命令。将planCacheIndexFilter操作应用于集合资源。
revokeRole用户可以从系统中的任何数据库上删除任何用户的任何角色。将此操作应用于数据库资源。
setAuthenticationRestriction运行以下命令时，用户可以在
user文档中指定 authenticationRestrictions 字段：运行以下命令时，用户可以在
role文档中指定authenticationRestrictions字段：注意
以下内置角色可授予此特权：
userAdmin角色在分配了该角色的数据库上提供此特权。userAdminAnyDatabase角色对所有数据库提供此特权。
将此操作应用于数据库资源。
setFeatureCompatibilityVersion用户可以运行
setFeatureCompatibilityVersion命令。将此操作应用于cluster资源。
unlock用户可以执行
db.fsyncUnlock()方法。将此操作应用于cluster资源。
viewRole用户可以查看给定数据库中任何角色的信息。将此操作应用于数据库资源。
viewUser用户可以查看给定数据库中任何用户的信息。将此操作应用于数据库资源。
部署管理操作
authSchemaUpgrade用户可以执行
authSchemaUpgrade命令。将此操作应用于cluster资源。
cleanupOrphaned用户可以执行
cleanupOrphaned命令。将此操作应用于cluster资源。
cpuProfiler用户可以启用并使用 CPU 剖析器。将此操作应用于
cluster资源。
inprog用户可使用
db.currentOp()方法返回待执行和活动操作的信息。将此操作应用于cluster资源。
invalidateUserCache提供对
invalidateUserCache命令的访问权限。将此操作应用于cluster资源。
killop用户可以执行
db.killOp()方法。将此操作应用于cluster资源。
planCacheRead用户可以运行以下操作：
$planCacheStats聚合阶段。
将此操作应用于数据库或集合资源。
planCacheWrite用户可以执行
planCacheClear命令以及PlanCache.clear()和PlanCache.clearPlansByQuery()方法。将此操作应用于数据库或集合资源。
storageDetails7.0 中已弃用：
storageDetails操作已从数据库中删除。
变更流操作
changeStream在特定集合、特定数据库中的所有非
system集合或所有数据库中的所有非system集合上具有changeStream和find的用户都可以打开该资源的变更流游标。
复制操作
appendOplogNote用户可以向 oplog 中追加注释。将此操作应用于
cluster资源。
replSetConfigure用户可以配置副本集。将此操作应用于
cluster资源。
replSetGetConfig用户可以查看副本集的配置。提供对
replSetGetConfig命令和rs.conf()辅助方法的访问权限。将此操作应用于
cluster资源。
replSetGetStatus用户可以执行
replSetGetStatus命令。将此操作应用于cluster资源。
replSetHeartbeat用户可以执行已弃用的
replSetHeartbeat命令。将此操作应用于cluster资源。
replSetStateChange用户可以通过
replSetFreeze、replSetMaintenance、replSetStepDown和replSetSyncFrom命令更改副本集的状态。将此操作应用于cluster资源。
resync用户可以执行已弃用的
resync命令。将此操作应用于cluster资源。
分片操作
addShard用户可以执行
addShard命令。将此操作应用于cluster资源。
checkMetadataConsistency用户可以执行
checkMetadataConsistency命令。将此操作应用于cluster、数据库或集合资源。7.0 版本中的新增功能。
clearJumboFlag从 4.2.3 和 4.0.15 开始可用
需要使用
clearJumboFlag命令清除数据段的巨型标志。将此操作应用于数据库或集合资源。包含在
clusterManager内置角色中。
enableSharding- 资源说明
授予用户执行以下操作的特权：
使用
enableSharding命令在数据库上启用分片，并使用
shardCollection命令对集合进行分片。
从 4.2.2、4.0.14、3.6.16 版开始授予用户执行以下分片区域操作的特权：
refineCollectionShardKey提供优化分片集合的分片键并运行
refineCollectionShardKey命令的特权。将此操作应用于数据库或集合资源。包含在
clusterManager内置角色中。
reshardCollection用户可以执行
reshardCollection命令。将此操作应用于数据库或集合资源。版本 5.0 中的新增功能。
flushRouterConfig用户可以执行
flushRouterConfig命令。将此操作应用于cluster资源。
getShardMap用户可以执行
getShardMap命令。将此操作应用于cluster资源。
getShardVersion用户可以执行
getShardVersion命令。将此操作应用于数据库资源。
listShards用户可以执行
listShards命令。将此操作应用于cluster资源。
moveChunk用户可以执行
moveChunk和moveRange命令。此外，只要特权应用于适当的数据库资源，用户还可以执行movePrimary命令。将此操作应用于数据库或集合资源。
removeShard用户可以执行
removeShard命令。将此操作应用于cluster资源。
shardedDataDistribution用户可以执行
$shardedDataDistribution聚合管道阶段。6.0.3 版本新增。
shardingState用户可以执行
shardingState命令。将此操作应用于cluster资源。
splitVector用户可以执行
splitVector命令。将此操作应用于数据库或集合资源。
服务器管理操作
applicationMessage用户可以执行
logApplicationMessage命令。将此操作应用于cluster资源。
bypassWriteBlockingMode即使在
setUserWriteBlockMode命令阻止写入时，用户也可以执行写入操作。将此操作应用于cluster资源。
closeAllDatabases用户可以执行已弃用的
closeAllDatabases命令。将此操作应用于cluster资源。
collMod用户可以执行
collMod命令。将此操作应用于数据库或集合资源。
compact用户可以执行
compact命令。将此操作应用于数据库或集合资源。
compactStructuredEncryptionData用户可以执行
compactStructuredEncryptionData命令。将此操作应用于数据库或集合资源。
connPoolSync用户可以执行内部
connPoolSync命令。将此动作应用于cluster资源。
convertToCapped用户可以执行
convertToCapped命令。将此操作应用于数据库或集合资源。
dropConnections用户可以执行
dropConnections命令。将此操作应用于cluster资源。
dropDatabase用户可以执行
dropDatabase命令。将此操作应用于数据库资源。
dropIndex用户可以执行
dropIndexes命令。将此操作应用于数据库或集合资源。
fsync用户可以执行
fsync命令。将此操作应用于cluster资源。
getDefaultRWConcern用户可以发出管理
getDefaultRWConcern命令。将此操作应用于cluster资源。
getParameter用户可以执行
getParameter命令。将此操作应用于cluster资源。
hostInfo提供有关 MongoDB 实例所运行服务器的信息。将此操作应用于
cluster资源。
oidReset需要重置对象标识符中使用的 5 字节随机字符串。
logRotate用户可以执行
logRotate命令。将此操作应用于cluster资源。
reIndex用户可以执行
reIndex命令。将此操作应用于数据库或集合资源。
renameCollectionSameDB允许用户使用
renameCollection命令重命名当前数据库上的集合。将此操作应用于数据库资源。此外，用户必须在源集合上具有
find，或者在目标集合上没有find。如果已存在具有新名称的集合，则用户还必须对目标集合执行
dropCollection操作。
rotateCertificates用户可以执行
rotateCertificates命令。将此操作应用于cluster资源。
setDefaultRWConcern用户可以发出管理
setDefaultRWConcern命令。将此操作应用于cluster资源。
setParameter用户可以执行
setParameter命令。将此操作应用于cluster资源。
setUserWriteBlockMode用户可以执行
setUserWriteBlockMode命令。将此操作应用于cluster资源。
shutdown用户可以执行
shutdown命令。将此操作应用于cluster资源。
touch用户可以执行已弃用的
touch命令。将此操作应用于cluster资源。
会话操作
impersonate用户可以使用
users和roles模式执行killAllSessionsByPattern命令。将此操作应用于cluster资源。要运行
killAllSessionsByPattern命令，用户还必须对集群资源具有killAnySession特权。
listSessions用户可以为所有用户或指定用户执行
$listSessions操作或$listLocalSessions操作。将此操作应用于cluster资源。
killAnySession用户可以执行
killAllSessions和killAllSessionsByPattern命令。将此操作应用于cluster资源。提示
另请参阅：
Atlas Search 索引操作
以下操作使用户能够运行Atlas Search 数据库命令。这些操作仅与MongoDB Atlas 上托管的部署相关。
createSearchIndexes用户可以运行
createSearchIndexes数据库命令。将此操作应用于数据库或集合资源。
dropSearchIndex用户可以运行
dropSearchIndex数据库命令。将此操作应用于数据库或集合资源。
listSearchIndexes用户可以运行
$listSearchIndexes聚合阶段。将此操作应用于数据库或集合资源。
updateSearchIndex用户可以运行
updateSearchIndex数据库命令。将此操作应用于数据库或集合资源。
诊断操作
collStats用户可以执行
collStats命令。将此操作应用于数据库或集合资源。
connPoolStats用户可以执行
connPoolStats命令。将此操作应用于cluster资源。
dbHash用户可以执行
dbHash命令。将此操作应用于数据库或集合资源。
dbStats用户可以执行
dbStats命令。将此操作应用于数据库资源。
getCmdLineOpts用户可以执行
getCmdLineOpts命令。将此操作应用于cluster资源。
getLog用户可以执行
getLog命令。将此操作应用于cluster资源。
indexStats用户可以运行
$indexStats聚合管道阶段。将此操作应用于数据库或集合资源。要使用
$indexStats阶段，用户必须至少使用clusterMonitor角色进行身份验证。
listDatabases用户可以执行
listDatabases命令。将此操作应用于cluster资源。如果用户没有
listDatabases特权操作，则用户可以运行listDatabases命令以返回用户拥有特权的数据库列表（包括用户对特定集合拥有特权的数据库），前提是该命令是在未指定authorizedDatabases选项或将其设置为true的情况下运行。
listCollections用户可以执行
listCollections命令。将此操作应用于数据库资源。注意
从版本 4.0 开始，没有所需权限的用户可以运行
listCollections命令，并将authorizedCollections和nameOnly选项设置为true。在此情况下，该命令仅返回用户拥有特权的集合的名称和类型。
listIndexes用户可以执行
listIndexes命令。将此操作应用于数据库或集合资源。
netstat用户可以执行
netstat命令。将此操作应用于cluster资源。
serverStatus用户可以执行
serverStatus命令。将此操作应用于cluster资源。
validate用户可以执行
validate和validateDBMetadata命令。将此操作应用于数据库或集合资源。
top用户可以执行
top命令。将此操作应用于cluster资源。
内部操作
anyAction允许对资源执行任何操作。除非绝对必要，否则请勿分配此操作。
internal允许内部操作。除非绝对必要，否则请勿分配此操作。
applyOps用户可以执行
applyOps命令。将此操作应用于cluster资源。