如何创建MongoDB用户使其在Prod恢复/复制后持久保留？

一、核心问题解决：复制Prod后保留Dev专属用户 #

MongoDB的用户信息默认存储在admin数据库的system.users集合中，直接复制Prod全库会覆盖Dev的admin库，导致Dev专属用户丢失。以下是两种最优解决思路：

1. 复制时排除admin数据库 #

备份Prod时跳过admin库，这样恢复到Dev时不会覆盖Dev原有的admin库（包含Dev的专属用户）。示例命令：

• 备份Prod：

  mongodump --uri "mongodb://prod-host:27017" --excludeDb admin --out prod-backup
  

• 恢复到Dev：

  mongorestore --uri "mongodb://dev-host:27017" --excludeDb admin prod-backup
  

这种方法最直接，完全避免了Dev用户被覆盖的问题，前提是Prod的admin库中没有需要同步到Dev的业务无关配置。

2. 自动化脚本重建Dev用户 #

如果必须同步Prod的admin库（比如包含全局配置），可以在复制完成后自动执行脚本重建Dev专属用户。示例步骤：

1. 创建JS脚本create-dev-user.js：

   use admin
   // 先删除旧用户（如果存在）
   db.dropUser("dev_rw_user", { w: "majority" })
   // 创建新的Dev可读写用户
   db.createUser({
     user: "dev_rw_user",
     pwd: "your-strong-password", // 建议用环境变量传递密码
     roles: [{ role: "readWrite", db: "your-dev-db" }],
     writeConcern: { w: "majority" }
   })
   

2. 在复制流程末尾执行脚本：

   mongo mongodb://dev-host:27017/admin --eval "$(cat create-dev-user.js)"
   

将此步骤加入每周复制的自动化流水线（比如Jenkins、GitHub Actions），无需手动操作。

二、关于MongoDB $external认证的疑问解答 #

1. $external认证在RBAC中的作用 #

$external认证是MongoDB与外部身份系统（LDAP、Kerberos、AWS IAM等）集成的机制：

• 用户身份信息存储在外部系统，而非MongoDB的admin.system.users集合；
• 在MongoDB中仅存储角色映射关系（即哪个外部用户拥有哪些MongoDB权限），这些映射仍保存在admin.system.users中；
• 认证时MongoDB会调用外部系统验证用户身份，验证通过后根据内部的角色映射分配权限。

2. 复制Prod后$external用户角色是否会被清除 #

• 如果复制Prod时覆盖了Dev的admin库，那么Dev中$external用户的角色映射会被Prod的admin.system.users覆盖（因为Prod中不存在这些Dev专属的角色映射）；
• 如果复制时排除admin库，Dev的角色映射会完整保留，外部用户的身份验证不受复制操作影响（因为用户信息在外部系统）；
• 注意：$external本身不解决“复制后保留用户”的问题，只是改变了用户身份的存储位置，核心仍需通过排除admin库或脚本重建来保留角色映射。

内容的提问来源于stack exchange，提问作者Kyle