createRole

定义¶

createRole¶

创建一个角色并指定其特权。该角色适用于您在其上运行命令的数据库。如果角色已经存在于数据库中，则该createRole 命令返回重复的角色错误。

该createRole命令使用以下语法：

复制

{ createRole: "<new role>",
  privileges: [
    { resource: { <resource> }, actions: [ "<action>", ... ] },
    ...
  ],
  roles: [
    { role: "<role>", db: "<database>" } | "<role>",
    ...
  ],
  authenticationRestrictions: [
    {
      clientSource: ["<IP>" | "<CIDR range>", ...],
      serverAddress: ["<IP>" | "<CIDR range>", ...]
    },
    ...
  ],
  writeConcern: <write concern document>
}

该createRole命令具有以下字段：

领域	类型	描述
createRole	串	新角色的名称。
privileges	数组	授予角色的特权。特权由资源和允许的操作组成。有关特权的语法，请参见 privileges数组。 您必须包括该privileges字段。使用空数组指定没有特权。
roles	数组	角色的数组，此角色从中继承特权。 您必须包括该roles字段。使用空数组指定 没有要继承的角色。
authenticationRestrictions	数组	可选的。 服务器对角色强制执行的身份验证限制。指定允许授予该角色的用户连接和/或可以从其连接的IP地址和CIDR范围的列表 。 3.6版的新功能。
writeConcern	文献	可选的。适用于此操作的写关注级别。该writeConcern文档使用与getLastError命令相同的字段。

"readWrite"

{ role: "<role>", db: "<database>" }

行为¶

角色的特权适用于创建角色的数据库。该角色可以从其数据库中的其他角色继承特权。在admin数据库上创建的角色可以包括适用于所有数据库或群集的特权，并且可以从其他数据库中的角色继承特权。

所需的访问权限¶

要在数据库中创建角色，您必须具有：

• 该数据库资源上的动作。createRole
• 在该数据库上执行的操作，以指定新角色的特权以及指定要继承的角色。grantRole

内置角色userAdmin并 在其各自的资源上userAdminAnyDatabase提供createRole和 grantRole采取行动。

要创建具有authenticationRestrictions指定角色的角色，必须对创建角色的 数据库资源执行操作。setAuthenticationRestriction

例子¶

以下createRole命令myClusterwideAdmin在admin数据库上创建 角色：

db.adminCommand({ createRole: "myClusterwideAdmin",
  privileges: [
    { resource: { cluster: true }, actions: [ "addShard" ] },
    { resource: { db: "config", collection: "" }, actions: [ "find", "update", "insert", "remove" ] },
    { resource: { db: "users", collection: "usersCollection" }, actions: [ "update", "insert", "remove" ] },
    { resource: { db: "", collection: "" }, actions: [ "find" ] }
  ],
  roles: [
    { role: "read", db: "admin" }
  ],
  writeConcern: { w: "majority" , wtimeout: 5000 }
})