MongoDB Access Admin — behörigheter i MongoDB utan krångel

Att hantera användare i MongoDB görs normalt med mongosh och db.createUser(), ett kommando i taget och en server i taget. Med flera miljöer (prod, test, dev) blir det snabbt svårt att se vem som har vilka rättigheter. Därför byggde jag MongoDB Access Admin: ett webbgränssnitt där man ser alla användare, roller och behörigheter i en matris och ändrar dem med några klick.

Här går jag igenom hur du installerar det på en server. Vill du läsa på om hur behörigheter fungerar i MongoDB först finns min MongoDB-guide.

På en server når alla på nätverket appen, och den har admin-lösenorden till varje MongoDB-anslutning. Därför slår serverläget på två skydd som är avstängda när du kör appen på din egen dator:

• Inloggning med app-konton i tre roller: Admin, Operator och Viewer.
• HTTPS med ett självsignerat certifikat som skapas automatiskt, eller med ditt eget certifikat.

Båda alternativen använder samma app, samma inställningar och samma dataformat, så du kan byta mellan dem senare. För OpenShift finns ett eget avsnitt i README-filen.

Krav och förberedelser

Du behöver en Linux-server som når dina MongoDB-servrar, och root-behörighet (sudo).

Innan du börjar:

1. Kopiera mongo-access-admin.zip till servern, till exempel med scp mongo-access-admin.zip user@server:~.
2. Skriv upp de värdnamn och IP-adresser folk kommer att använda för att nå servern, till exempel mongoadmin.lab.local,10.0.0.50. De läggs in i certifikatet.
3. Om du har en brandvägg igång, öppna porten: sudo ufw allow 8443/tcp. Mer om det i min UFW-guide.

Alternativ 1: systemd-tjänst (Debian/Ubuntu)

Ett skript installerar allt och startar tjänsten. Kör det igen från en nyare version när du vill uppdatera.

sudo apt-get install -y unzip
unzip mongo-access-admin.zip
cd mongo-admin            # eller mongo-access-admin, beroende på zip-filen
sudo ./deploy/install.sh --hostnames "mongoadmin.lab.local,10.0.0.50"

Skriptet gör följande:

1. Installerar paketen som behövs, och Node.js 22 från NodeSource om systemets version är äldre än 20.19.
2. Skapar tjänstanvändaren mongoadmin, som saknar skal och andra rättigheter.
3. Kopierar appen till /opt/mongo-access-admin och installerar dess beroenden.
4. Skapar datakatalogen /var/lib/mongo-access-admin och inställningsfilen /etc/mongo-access-admin/env.
5. Installerar en härdad systemd-unit som bara får skriva i sin datakatalog, och aktiverar och startar den.
6. Skriver ut adressen, certifikatets SHA-256-fingeravtryck och engångskoden för setup.

Här hamnar allt:

Alternativ 2: Docker

Bygg och starta containern med Docker Compose. Datan ligger i volymen data, som monteras på /data.

1. Packa upp zip-filen på servern och gå in i mappen.
2. Öppna docker-compose.yml och skriv in dina värdnamn och IP-adresser i TLS_HOSTNAMES, till exempel "mongoadmin.lab.local,10.0.0.50".
3. Bygg och starta:

docker compose up -d --build
docker compose logs        # visar adressen, fingeravtrycket och setup-koden

Vill du använda ett eget certifikat: avkommentera raderna TLS, TLS_CERT_FILE och TLS_KEY_FILE och volymen ./certs:/certs:ro i docker-compose.yml. Lägg sedan cert.pem och key.pem i en mapp som heter certs bredvid filen.

Första inloggningen och app-roller

Öppna https://<server>:8443, kontrollera certifikatets fingeravtryck och skapa sedan den första administratören med setup-koden.

Det är servern som kontrollerar rollerna, och knappar som en roll inte får använda döljs. Efter 5 misslyckade inloggningar låses kontot i 15 minuter från den adressen. Varje ändring och varje inloggning skrivs till audit-loggen med app-användarens namn.

Hantera app-konton från kommandoraden

Använd de här kommandona på servern när ingen kan logga in som admin, eller om du vill skripta konton.

sudo mongo-access-admin list-users                     # lista konton
sudo mongo-access-admin add-user <namn> <roll>         # lägg till konto
sudo mongo-access-admin reset-password <namn>          # återställ lösenord
sudo mongo-access-admin set-role <namn> <roll>         # byt roll
sudo mongo-access-admin delete-user <namn>             # ta bort konto
sudo mongo-access-admin setup-code                     # ny setup-kod

docker compose exec app node manage.js list-users
docker compose exec app node manage.js add-user <namn> <roll>
docker compose exec app node manage.js reset-password <namn>
docker compose exec app node manage.js set-role <namn> <roll>
docker compose exec app node manage.js delete-user <namn>
docker compose exec app node manage.js setup-code

<roll> är admin, operator eller viewer (standard är viewer). Nya och återställda konton får ett tillfälligt lösenord som skrivs ut en gång och måste bytas vid första inloggningen. Den sista administratören kan inte tas bort eller degraderas.

Inställningar

Inställningarna ligger i /etc/mongo-access-admin/env (tjänst) eller under environment: i docker-compose.yml (Docker). Starta om efter en ändring.

# Kopiera cert.pem och key.pem till /etc/mongo-access-admin/ och gör dem läsbara för tjänsten:
sudo chgrp mongoadmin /etc/mongo-access-admin/*.pem
sudo chmod 640 /etc/mongo-access-admin/*.pem

# Lägg till i /etc/mongo-access-admin/env:
TLS=files
TLS_CERT_FILE=/etc/mongo-access-admin/cert.pem
TLS_KEY_FILE=/etc/mongo-access-admin/key.pem

Lägga till namn i det självsignerade certifikatet i efterhand: lägg till dem i TLS_HOSTNAMES, ta bort mappen tls i datakatalogen och starta om. Fingeravtrycket ändras, så dela det nya med dina användare.

Uppdatera, säkerhetskopiera, flytta data och avinstallera

Uppdateringar behåller inställningar och data. Datakatalogen är det enda du behöver säkerhetskopiera.

Flytta dina anslutningar från din egen dator till servern:

1. Kopiera connections.json och audit-log.jsonl från app-mappen på din dator till servern.
2. Tjänst: sudo cp connections.json audit-log.jsonl /var/lib/mongo-access-admin/ och sedan sudo chown mongoadmin: /var/lib/mongo-access-admin/*.json*. Docker: docker compose cp connections.json app:/data/ och samma sak för audit-log.jsonl.
3. Starta om tjänsten eller containern.

Felsökning

Börja med loggen: journalctl -u mongo-access-admin -n 50 (tjänst) eller docker compose logs --tail 50 (Docker).

Bildgalleri

Så här ser verktyget ut i drift, kopplat mot en MongoDB 8 på min egen dator. Klicka på en bild för att se den större.

Matrisen: vem har vilken access i vilken databas Användare och deras roller per databas Audit-loggen: vem gjorde vad och när Egna roller som fungerar som grupper Inbyggd guide om hur access fungerar i MongoDB

✕

✕

✕

✕

✕