root是全实例超级权限，可执行删库、停服务、集群配置等操作；userAdminAnyDatabase仅限用户生命周期管理，如createUser、dropUser，无任何数据读写权限，且必须在admin库创建。
root 和 userAdminAnyDatabase 都必须在 admin 数据库中创建，但权限边界完全不同：前者能删库、改配置、停服务；后者连一条文档都读不了，只管“谁能在哪个库建用户”。别把它们当权限大小的区别，而是职能隔离的两个角色。
权限范围根本不同
root 是全实例控制权，覆盖数据操作、系统命令、集群管理；userAdminAnyDatabase 仅限于用户生命周期管理——只允许执行 createUser、dropUser、grantRole、revokeRoles 这类命令，且不能对任何业务集合做 find 或 insert。
-
root可以运行shutdownServer()、setParameter、enableSharding等高危命令 -
userAdminAnyDatabase连show collections都会报not authorized on test to execute command -
root自动继承所有其他角色（包括userAdminAnyDatabase），但反过来不成立
创建和使用场景错不开
你不会用 userAdminAnyDatabase 去配监控账号，也不会用 root 去日常增删应用用户——这是运维分工问题，不是权限“够不够”的问题。
- 给 DBA 开通批量管理用户权限？用
userAdminAnyDatabase，避免误删config库或调错slowms - 需要重装分片集群或紧急降级 mongod 版本？才轮到
root登场 - 应用部署脚本里硬编码
root密码？这是审计红线，应改用最小权限角色 + 临时 token 或密钥管理工具
容易踩的坑：权限看似够了，实则没生效
常见错误不是选错角色，而是创建时没切对库或写错结构。
- 执行
db.createUser()前没先use admin→ 角色被创建在当前库，失去 “AnyDatabase” 效力 - 写成
{role: "userAdminAnyDatabase", db: "test"}→ MongoDB 会当作普通userAdmin处理，只作用于test库 - 启用了
security.authorization: enabled却没预置初始用户 → 连admin库都进不去，更别说创建角色
真正难的不是记住哪个角色能干啥，而是判断“这件事到底该由谁来干”——比如加一个只读账号，是让 userAdminAnyDatabase 用户去 use orders; db.createUser(...)，还是直接让 root 在 admin 库里一把梭？后者快，但审计日志里只剩下一个超级账号的操作痕迹。
