ApsaraDB for MongoDB:インスタンス作成時にルートアカウントに付与される権限

alibabaCloudAdmin ロールの権限は制限されています。そのため、カスタムユーザーまたはロールを作成する際に、ルートアカウントの既存の権限範囲を超える権限を付与することはできません。

alibabaCloudAdmin ロールは admin データベースに対する読み取り権限のみを持ちます。このロールを担ってデータベースにデータを書き込むことはできません。他のデータベースでは、これらの組み込み権限を持つユーザーまたはロールを作成できます。

admin データベースで readWriteAnyDatabase、dbAdminAnyDatabase、userAdminAnyDatabase の組み込みロールを持つアカウントを作成できます。コマンドの例：

db.getSiblingDB("admin").createUser({user:"myName",pwd:"myPassword",roles:["readWriteAnyDatabase"]})

デフォルトでは、alibabaCloudAdmin ロールの権限を持つルートアカウントは、シャードクラスターインスタンスの O&M に関連する一部のコマンドを実行できます。ルートアカウントを使用して、これらのコマンドを実行できます。

O&M コマンドを実行するためのカスタムアカウントを作成する場合は、次の方法を使用してユーザーを作成します。次の例は、splitVector コマンドをサポートするユーザーを作成する方法を示しています。

db.runCommand({createRole:'myRole',privileges:[{"resource":{"db":"","collection":""},"actions":['splitVector']}],roles:['readAnyDatabase']})

db.getSiblingDB("admin").createUser({user:"myUser",pwd:"myPassword",roles:["myRole"]})

新しいアカウントが他のデータベースに対する readAnyDatabase 権限を持っていることを確認し、admin データベースに対する読み取り権限をアカウントに付与する必要があります。

カスタムアカウントが myUser であるとします。次のコマンドを実行して、admin データベースに対する読み取り権限をカスタムアカウントに付与できます。

db.adminCommand({ grantRolesToUser: "myUser", roles: [{ role: "read", db: "admin"}]})

ApsaraDB for MongoDB の組み込み xxxAnyDatabase 権限は、公式の動作とは異なります。組み込み権限は、config、local、admin データベースをカバーしていません。そのため、admin データベースに対する読み取り権限を追加で付与する必要があります。

listDatabases 操作はクラスター全体に適用され、クラスターリソースで実行する必要があります。次のコマンドを実行して、カスタムロールを作成できます。

db.createRole(
    {
        role: "flinkrole",
        privileges: [
        {
            resource: { db: "", collection: "" },
            actions: [
                "splitVector",
                "listCollections",
                "collStats",
                "find",
                "changeStream" ]
        },
        {
            resource: { "cluster": true }, 
            actions: [ "listDatabases" ]
        }
        ],
        roles: [
            { role: 'read', db: 'config' }
        ]
    }
);

ロールとユーザーの作成後に CDC サービスを使用する際にエラーが引き続き発生する場合は、チケットを送信して、Alibaba Cloud テクニカルサポートに連絡してください。