KeyFile权限过大极危险，因644或777权限会使密钥明文暴露，导致节点身份伪造、恶意同步等攻击；MongoDB强制要求600权限且属主为mongodb用户，否则启动失败。
KeyFile权限过大为什么危险
KeyFile是MongoDB副本集或分片集群认证用的共享密钥文件，如果权限设为644甚至777，任何本地用户都能读取它——等于把集群通信密码明文暴露给所有账户。Linux下只要能cat这个文件，就能伪造节点身份、发起恶意同步或接管仲裁节点。
MongoDB服务启动时会主动检查KeyFile权限，若发现不满足严格要求（如非600），会直接拒绝启动并报错：key file permissions are too open。这不是警告，是硬性拦截。
必须设为600且属主为mongodb用户
权限和属主必须同时满足，缺一不可。只改权限不改属主，或只改属主不收紧权限，都会失败。
- 执行
chmod 600 /etc/mongod-keyfile（路径按实际调整） - 确认MongoDB运行用户是
mongodb（多数发行版默认如此；可用ps -u mongodb -o comm=验证） - 执行
chown mongodb:mongodb /etc/mongod-keyfile（组名通常与用户名一致） - 检查结果：
ls -l /etc/mongod-keyfile应显示-rw------- 1 mongodb mongodb
常见踩坑点
这些操作看似简单，但实际部署中高频出错：
- KeyFile由
root创建后忘记chown，导致mongod以mongodb用户身份读取时被系统拒绝（报Permission denied而非权限警告） - 在Docker容器中挂载KeyFile时，宿主机文件属主是
root，容器内mongodb用户无法读取——需在docker run中加--user root临时改属主，或用初始化脚本chown - Ansible/Shell脚本里
chmod写成644，因为复制模板时用了copy模块默认权限，没显式覆盖mode - SELinux启用时，即使权限和属主正确，也可能因上下文类型不对被拦截；可临时用
ls -Z查看，必要时chcon -t mongod_etc_t /etc/mongod-keyfile
验证是否真正生效
别只信ls -l输出，要让mongod自己验证：
- 停掉mongod：
systemctl stop mongod - 手动用mongod用户跑一次校验：
sudo -u mongodb mongod --config /etc/mongod.conf --fork - 观察日志：
journalctl -u mongod -n 50 --no-pager，成功则无KeyFile相关错误；失败则明确提示哪一步不合规 - 注意：若配置中
security.keyFile路径写错（比如多了一个/），也会报权限错——本质是文件根本打不开，系统误判为权限问题
MongoDB对KeyFile的校验非常机械：只认600 + 属主匹配。任何“差不多就行”的妥协都会在启动那一刻卡住，而且错误信息模糊，容易往权限方向反复调试，其实问题可能出在路径拼写或SELinux上下文上。
