理怎么在自动化部署(Ansible/Terraform)中地初始化MongoDB户|Duuu笔记
基于真实项目经验的安全实战分享
Ansible初始化MongoDB用户时mongosh连接失败的主因是4.4+默认禁用localhost异常认证，需显式配置认证参数；容器化部署须端口探活；角色须按库指定；TLS启用时需匹配SCRAM-SHA-256机制。
Ansible 初始化 MongoDB 用户时，
mongosh
连接失败的常见原因
不是密码错，也不是权限低，而是 MongoDB 4.4+ 默认禁用
localhost
异步认证（即“localhost exception”只在无用户时生效）。一旦你先建了 admin 用户，后续所有连接（包括 Ansible 的
mongosh
）都必须带认证凭据——但 Ansible 模块往往默认走无认证直连，直接报
Unauthorized
或
Failed to authenticate
。
实操建议：
确保 Ansible 任务中显式指定
host
、
port
、
username
、
password
和
authentication_database
（通常是
admin
）
避免用
community.mongodb.mongodb_shell
执行初始化命令；改用
community.mongodb.mongodb_user
模块，它内部处理认证握手更可靠
首次运行前，确认 MongoDB 启动时未启用
security.authorization: true
—— 否则必须先用 localhost exception 创建第一个用户，再开启授权
Terraform +
mongod
容器化部署中，
mongosh
初始化脚本不执行
典型现象：Terraform 调用
docker_container
启动 MongoDB，再用
local-exec
跑
mongosh --eval
，但脚本静默退出，用户没创建成功。根本原因是容器启动后 MongoDB 进程还没就绪（监听端口未 open），
mongosh
就已超时失败。
实操建议：
不要依赖固定 sleep；改用
until nc -z localhost 27017; do sleep 2; done
做端口探活（需宿主机装
nc
）
mongosh
命令加
--quiet --eval
，避免输出干扰；错误重定向到日志文件，方便排查
Connection refused
或
Authentication failed
如果用
mongodb/mongodb-community-server
镜像，注意其默认配置不启用 auth，需挂载自定义
mongod.conf
并设
security.authorization: enabled
用
community.mongodb.mongodb_user
创建用户时，
roles
写错导致权限过宽或无效
MongoDB 的角色是数据库粒度的，不是全局的。
roles: ["root"]
看似省事，但
root
只在
admin
库生效；若想让某用户能读写
myapp
库，必须显式写
roles: [{ role: "readWrite", db: "myapp" }]
，否则创建成功但实际无权操作。
实操建议：
避免使用
userAdminAnyDatabase
或
root
，最小权限原则：应用用户只配
readWrite
，监控用户只配
clusterMonitor
若需跨库权限（如聚合查多个库），必须为每个目标库单独声明 role，MongoDB 不支持通配符 db 名
注意
db
字段值必须小写且不含特殊字符；
myApp
和
myapp
是两个不同库，别被命名习惯骗了
初始化后应用仍连不上：TLS 和
authMechanism
不匹配
当 MongoDB 配置了 TLS（
net.tls.mode: requireTLS
），但 Ansible/Terraform 初始化时没指定
authMechanism: SCRAM-SHA-256
，或应用连接串漏了
?authMechanism=SCRAM-SHA-256
，就会出现「用户存在但认证失败」的假象。
实操建议：
检查 MongoDB 日志是否有
Unsupported SASL mechanism
—— 这说明客户端用了旧机制（如 MONGODB-CR），而服务端只支持 SHA-256
Ansible 中用
community.mongodb.mongodb_user
时，加参数
auth_mechanism: "SCRAM-SHA-256"
；Terraform 的
local-exec
则在
mongosh
命令里加
--authenticationMechanism SCRAM-SHA-256
若用自签名证书，
mongosh
必须加
--tls --tlsAllowInvalidCertificates
，否则连接直接被拒绝，根本到不了认证环节
真正卡住人的地方，往往不是语法写错，而是 MongoDB 的认证流程分阶段：先连上、再选库、再验凭据、最后校验角色作用域——每一步断在哪，错误表现都差不多，得靠日志里的具体提示词反推。
