Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwaltung von Amazon DocumentDB-Benutzern

In Amazon DocumentDB authentifizieren sich Benutzer bei einem Cluster in Verbindung mit einem Passwort. Jeder Cluster verfügt über primäre Anmeldeinformationen, die bei der Clustererstellung festgelegt werden.

Primär- und ServiceAdmin-Benutzer

Ein neu erstellter Amazon DocumentDB-Cluster hat zwei Benutzer: den Hauptbenutzer und den serviceadmin Benutzer.

Der Hauptbenutzer ist ein einzelner, privilegierter Benutzer, der Verwaltungsaufgaben ausführen und zusätzliche Benutzer mit Rollen erstellen kann. Wenn Sie zum ersten Mal eine Verbindung zu einem Amazon DocumentDB-Cluster herstellen, müssen Sie sich mit den primären Anmeldeinformationen authentifizieren. Der Hauptbenutzer erhält diese Administratorberechtigungen für einen Amazon DocumentDB-Cluster, wenn dieser Cluster erstellt wird, und ihm wird die Rolle von zugewiesen. root

Der serviceadmin-Benutzer wird implizit beim Erstellen des Clusters erstellt. Jeder Amazon DocumentDB-Cluster hat einen serviceadmin Benutzer, AWS der Ihnen die Möglichkeit bietet, Ihren Cluster zu verwalten. Sie können sich mit serviceadmin nicht anmelden, den Benutzer löschen oder umbenennen, sein Passwort ändern oder die Berechtigungen ändern. Jeder Versuch, das zu tun, führt zu einem Fehler.

Zusätzliche Benutzer erstellen

Nachdem Sie eine Verbindung als Hauptbenutzer (oder als beliebiger Benutzer, der die Rolle hatcreateUser) hergestellt haben, können Sie einen neuen Benutzer erstellen, wie unten gezeigt.

db.createUser(
    {
        user: "sample-user-1",
        pwd: "password123",
        roles: 
            [{"db":"admin", "role":"dbAdminAnyDatabase" }]
    }
)
      

Um Benutzerdetails anzuzeigen, können Sie den Befehl show users wie folgt verwenden. Sie können Benutzer zusätzlich mit dem Befehl dropUser entfernen. Weitere Informationen finden Sie unter Allgemeine Befehle.

show users
{ 
    "_id" : "serviceadmin",
    "user" : "serviceadmin",
    "db" : "admin",
    "roles" : [
    	{
            "role" : "root",
            "db" : "admin"
        }
    ]
},

{ 
    "_id" : "myPrimaryUser",
    "user" : "myPrimaryUser",
    "db" : "admin",
    "roles" : [
    	{
            "role" : "root",
            "db" : "admin"
        }
    ]
},

{
    "_id" : "sample-user-1",
    "user" : "sample-user-1",
    "db" : "admin",
    "roles" : [
    	{
            "role" : "dbAdminAnyDatabase",
            "db" : "admin"
    	}
    ]
}
      

Im obigen Beispiel wird der neue Benutzer sample-user-1 der admin-Datenbank zugewiesen. Dies ist bei einem neuen Benutzer immer der Fall. Amazon DocumentDB hat nicht das Konzept einer authenticationDatabase und daher erfolgt die gesamte Authentifizierung im Kontext der admin Datenbank.

Wenn Sie beim Erstellen von Benutzern das db Feld bei der Angabe der Rolle weglassen, ordnet Amazon DocumentDB die Rolle implizit der Datenbank zu, für die die Verbindung hergestellt wird. Wenn Ihre Verbindung beispielsweise für die Datenbank sample-database hergestellt wird und Sie den folgenden Befehl ausführen, wird der Benutzer sample-user-2 in der Datenbank admin erstellt und verfügt über readWrite-Berechtigungen für die Datenbank sample-database.

db.createUser(
    {
        user: "sample-user-2", 
        pwd: "password123", 
        roles: 
            ["readWrite"]
    }
)
      

Wenn Sie Benutzer mit Rollen erstellen, die über alle Datenbanken hinweg erfasst sind (z. B. readInAnyDatabase), müssen Sie sich beim Erstellen des Benutzers entweder im Kontext der admin-Datenbank befinden oder beim Erstellen des Benutzers explizit die Datenbank für die Rolle angeben.

Um den Kontext Ihrer Datenbank zu wechseln, können Sie den folgenden Befehl verwenden.

use admin

Weitere Informationen zur rollenbasierten Zugriffssteuerung und zum Erzwingen geringstmöglicher Berechtigungen unter den Benutzern im Cluster finden Sie unter Datenbankzugriff mit Role-Based Access Control.

Automatisch rotierende Passwörter für Amazon DocumentDB

Mit AWS Secrets Manager können Sie fest codierte Anmeldeinformationen in Ihrem Code (einschließlich Passwörter) durch einen API-Aufruf an Secrets Manager ersetzen, um das Geheimnis programmgesteuert abzurufen. Dadurch wird sichergestellt, dass das Secret nicht kompromittiert werden kann, wenn jemand Ihren Code durchsucht, da es sich gar nicht dort befindet. Außerdem können Sie Secrets Manager so konfigurieren, dass er das Secret automatisch nach einem von Ihnen festgelegten Zeitplan rotiert. So können Sie Secrets mit langer Einsatzdauer durch Secrets mit kurzer Einsatzdauer ersetzen und damit das Risiko einer Kompromittierung erheblich verringern.

Mit Secrets Manager können Sie Ihre Amazon DocumentDB-Passwörter (d. h. Secrets) mithilfe einer AWS Lambda Funktion, die Secrets Manager bereitstellt, automatisch rotieren.

Weitere Informationen über Amazon DocumentDB AWS Secrets Manager und die native Integration mit Amazon DocumentDB finden Sie unter den folgenden Links: