MongoDB如何配置基于云原生的IAM角色认证_在Atlas中关联AWS IAM-MongoDB-PHP中文网

Atlas中使用AWS IAM角色认证必须通过MONGODB-AWS机制且禁用连接字符串硬编码密钥，因驱动优先读取URI凭证会忽略环境变量和实例角色，而Atlas明确拒绝含明文密钥的请求并要求临时令牌完整签名。

mongodb如何配置基于云原生的iam角色认证_在atlas中关联aws iam

Atlas 中使用 AWS IAM 角色认证必须通过 MONGODB-AWS 认证机制，且不能在连接字符串里硬编码密钥——这是 Node.js 驱动 7.0+ 的强制要求，不是可选项。

驱动会优先读取连接字符串里的凭证，一旦写了就忽略环境变量和 EC2 实例角色；而 Atlas 明确拒绝带明文密钥的连接请求（返回 AuthenticationFailed 错误），尤其当启用联合身份或临时会话令牌时，硬编码会导致 AWS_SESSION_TOKEN 缺失、签名失效。

连接字符串中包含 user/password 参数即触发弃用路径，驱动会在日志中输出 DEPRECATION WARNING: MONGODB-AWS credentials in URI are deprecated
EC2 实例上若未配置 AWS_ROLE_ARN 和信任策略，aws4 签名库会 fallback 到空凭证，最终报 Missing credentials in config
本地开发时若依赖 ~/.aws/credentials，需确保 profile 名与 AWS_PROFILE 环境变量一致，否则驱动静默跳过

Node.js 驱动按固定顺序查找凭证：环境变量 → 共享凭据文件 → EC2 IMDS（含 ECS/EKS）→ EKS IRSA。你只需确保其中任一来源有效，MongoClient 就能自动构造 MONGODB-AWS 签名。

EC2 实例上：附加 IAM 角色，并在实例元数据中验证 curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/ 能返回角色名
EKS 集群中：部署 IRSA（IAM Roles for Service Accounts），为 Pod 的 serviceAccount 绑定 IRSA 注解，并挂载 aws-iam-token volume
本地调试：设置 AWS_PROFILE=atlas-dev 并在 ~/.aws/credentials 中定义该 profile，避免使用 default 引起混淆
务必在连接字符串末尾显式指定 ?authMechanism=MONGODB-AWS，不加则默认走 SCRAM-SHA-1

即使代码侧凭证加载正确，Atlas 项目仍需显式授权该 AWS 身份访问数据库——这步常被跳过，导致连接时抛出 Unauthorized 或 Access denied for user。

mongodb-query

用于调试和故障排查，查询MongoDB数据库。用户需要时可以： (1) 列出所有数据库； (2) 列出数据库中的集合； (3) 执行MongoDB查询或命令。

下载

登录 Atlas 控制台 → 项目设置 → Access Manager → Add New Database User
选择 Authentication Method 为 AWS IAM，输入 IAM 用户 ARN（如 arn:aws:iam::123456789012:user/atlas-db-user）或角色 ARN（如 arn:aws:iam::123456789012:role/atlas-mongodb-role）
为该用户分配具体数据库角色（例如 atlasAdmin 或自定义 readWrite），**不能只给 Project Reader 这类项目级权限**
确认该 IAM 实体已在 AWS 控制台中被授予 mongodb-atlas:CreateUser 和 mongodb-atlas:GetUser 权限（用于 Atlas 同步用户状态）

连不上时先检查是否卡在签名环节，而不是网络或 DNS —— MONGODB-AWS 是应用层签名，不涉及 TLS 握手失败那种错误码。

错误信息含 InvalidSignatureException：大概率是 AWS_SESSION_TOKEN 过期或未随临时凭证传入，检查是否用了 sts:GetSessionToken 但没把 token 放进环境变量
错误信息含 ExpiredTokenException：EC2 实例角色或 EKS IRSA 的 token 默认 15 分钟过期，驱动不会自动刷新，需确保应用生命周期内 token 有效（或改用长期角色）
连接成功但查不到数据：确认 Atlas 中创建的 IAM 用户绑定了目标数据库的 read 或 readWrite 角色，而非仅 admin 数据库权限
本地运行时报 getaddrinfo ENOTFOUND：不是认证问题，是 DNS 解析失败，检查 Atlas 连接字符串中的集群域名是否拼写正确（如 cluster0.xxxxx.mongodb.net）

最易忽略的是 Atlas 侧的用户绑定——它和 AWS IAM 是两个独立系统，只配了 AWS 权限但没在 Atlas 里“认领”这个身份，连接永远会因 user not found 拒绝。