MongoDB Atlas专用分片集群执行db.fsyncLock()遇未授权问题咨询

问题描述 #

在MongoDB Atlas专用分片集群中，尝试从secondary节点执行db.fsyncLock()时收到未授权错误；同时在config数据库执行findAndModify等命令也出现相同错误。已通过Atlas UI为用户分配以下角色：

authenticatedUserRoles: [
  { role: 'atlasAdmin', db: 'admin' },
  { role: 'backup', db: 'admin' },
  { role: 'clusterMonitor', db: 'admin' },
  { role: 'dbAdminAnyDatabase', db: 'admin' },
  { role: 'enableSharding', db: 'admin' },
  { role: 'readWriteAnyDatabase', db: 'admin' }
]

报错信息如下：

MongoServerError[Unauthorized]: not authorized on admin to execute command { fsync: 1, lock: true, lsid: { id: UUID("3c98878b-9c36-4a5a-945f-f844bda6c04f") }, $clusterTime: { clusterTime: Timestamp(1726470174, 1), signature: { hash: BinData(0, D048A6DCF75FA7B59DB4AE831656E536D1ED989A), keyId: 7415097913686097942 } }, $readPreference: { mode: "primaryPreferred" }, $db: "admin" }

询问是否可以在Atlas托管的MongoDB集群中运行这类命令？

解答 #

核心结论 #

MongoDB Atlas托管集群中，你尝试的这类命令（db.fsyncLock()、直接操作config库的findAndModify）不允许用户执行，即便拥有高权限角色也无法绕过限制。

具体原因说明 #

• db.fsyncLock()命令限制：该命令用于锁定数据库实例以进行离线备份，但Atlas已提供自动化的云备份/连续备份方案，为保证集群稳定性和托管服务的标准化，平台直接禁用了用户手动执行此命令的权限，无论操作的是primary还是secondary节点。另外secondary节点默认处于只读状态，本身也不支持执行这类涉及写入锁定的操作。
• config数据库操作限制：config库是MongoDB分片集群存储元数据的核心内部数据库，Atlas会自动维护其中的数据以保证分片逻辑正常运行。即使拥有atlasAdmin这类最高权限角色，用户也被禁止直接修改config库的内容，避免人为操作破坏集群分片架构。
• 权限边界说明：Atlas提供的高权限角色（如atlasAdmin）仅开放用户管理业务数据、集群常规配置的权限，底层运维类命令（如实例锁定、元数据修改）属于平台管控范围，不对外开放。

内容的提问来源于stack exchange，提问作者Abu Sayed