ApsaraDB for MongoDB:インスタンス作成時に作成されるルートアカウントの権限

alibabaCloudAdmin ロールにはこれらのクラスターレベルの権限が含まれていないため、カスタムユーザーやロールにこれらの権限を付与することはできません。カスタムアカウントの権限は、ルートアカウント自身の権限スコープを超えることはできません。

alibabaCloudAdmin ロールは admin データベースに対する読み取り権限しか持たないため、そこに書き込みアクセス権を持つアカウントを作成することはできません。admin 以外のデータベースで、これらの権限を持つユーザーやロールを作成してください。

admin データベースでアカウントを作成し、readWriteAnyDatabase ロールを割り当てます。

db.getSiblingDB("admin").createUser({
  user: "myName",
  pwd: "myPassword",
  roles: ["readWriteAnyDatabase"]
})

ルートアカウントは、「シャードクラスターの運用保守コマンド」セクションに記載されている運用保守コマンドをすでにサポートしています。これらの操作にはルートアカウントを直接使用してください。

カスタムアカウントで特定のコマンドを実行するには、必要なアクションのみを付与するカスタムロールを作成してください。次の例では、splitVector を実行できるユーザーを作成します (シャードクラスターインスタンスでのみサポートされています)。

db.runCommand({
  createRole: 'myRole',
  privileges: [{
    resource: { db: "", collection: "" },
    actions: ['splitVector']
  }],
  roles: ['readAnyDatabase']
})

db.getSiblingDB("admin").createUser({
  user: "myUser",
  pwd: "myPassword",
  roles: ["myRole"]
})

ApsaraDB for MongoDB の xxxAnyDatabase ロールは (標準的な MongoDB とは異なり) admin データベースを対象としません。アカウントに他のデータベースに対する readAnyDatabase を付与し、その後、admin データベースに対する read を明示的に付与してください。

db.adminCommand({
  grantRolesToUser: "myUser",
  roles: [{ role: "read", db: "admin" }]
})

listDatabases アクションは、データベースリソースやコレクションリソースではなく、クラスターリソースに割り当てる必要があります。次のコマンドを使用して、ロールを正しく作成してください。

db.createRole({
  role: "flinkrole",
  privileges: [
    {
      resource: { db: "", collection: "" },
      actions: [
        "splitVector",
        "listCollections",
        "collStats",
        "find",
        "changeStream"
      ]
    },
    {
      resource: { cluster: true },
      actions: ["listDatabases"]
    }
  ]
});

ロールとユーザーを作成した後もエラーが発生する場合は、チケットを送信して Alibaba Cloud のテクニカルサポートにお問い合わせください。