ApsaraDB for MongoDB:インスタンス作成時に指定されるルートアカウントの権限

alibabaCloudAdmin ロールには、これらのクラスターレベルの権限が含まれていないため、カスタムユーザーまたはロールにそれらを付与することはできません — カスタムアカウントの権限は、ルートアカウントの権限範囲を超えることはできません。

alibabaCloudAdmin ロールには admin データベースに対する読み取り権限しかないため、そこに書き込みアクセスを持つアカウントを作成できません。代わりに、これらの権限を持つユーザーまたはロールを admin 以外のデータベース上に作成してください。

admin データベースにアカウントを作成し、readWriteAnyDatabase ロールを割り当てます:

db.getSiblingDB("admin").createUser({
  user: "myName",
  pwd: "myPassword",
  roles: ["readWriteAnyDatabase"]
})

ルートアカウントは、「シャードクラスターの O&M コマンド」セクションに記載されている O&M コマンドをすでにサポートしています。これらの操作にはルートアカウントを直接使用してください。

カスタムアカウントで特定のコマンドを実行するには、必要なアクションのみを付与するカスタムロールを作成します。次の例では、splitVector を実行できるユーザーを作成します：

db.runCommand({
  createRole: 'myRole',
  privileges: [{
    resource: { db: "", collection: "" },
    actions: ['splitVector']
  }],
  roles: ['readAnyDatabase']
})

db.getSiblingDB("admin").createUser({
  user: "myUser",
  pwd: "myPassword",
  roles: ["myRole"]
})

ApsaraDB for MongoDB の xxxAnyDatabase ロールは、(標準の MongoDB とは異なり) admin データベースをカバーしません。アカウントに他のデータベースに対する readAnyDatabase 権限を付与し、その後で admin データベースに対する read 権限を明示的に付与します：

db.adminCommand({
  grantRolesToUser: "myUser",
  roles: [{ role: "read", db: "admin" }]
})

listDatabases アクションは、データベースやコレクションのリソースではなく、クラスターリソースに割り当てる必要があります。次のコマンドを使用して、ロールを正しく作成してください：

db.createRole({
  role: "flinkrole",
  privileges: [
    {
      resource: { db: "", collection: "" },
      actions: [
        "splitVector",
        "listCollections",
        "collStats",
        "find",
        "changeStream"
      ]
    },
    {
      resource: { cluster: true },
      actions: ["listDatabases"]
    }
  ],
  roles: [
    { role: "read", db: "config" }
  ]
});

ロールとユーザーを作成した後もエラーが発生する場合は、チケットを送信して Alibaba Cloud テクニカルサポートにご連絡ください。