MongoDB 5.0 副本集开启审计日志必须同时启用 authorization: enabled，否则启动失败；所有节点需统一配置，且须先创建管理员用户、再启用鉴权、最后配置 auditLog，顺序不可颠倒。
MongoDB 5.0 副本集开启审计日志，不能只靠在配置文件里加 auditLog 路径——必须同时启用 authorization: enabled，否则服务启动直接失败。
auditLog 配置必须和 authorization 绑定启用
MongoDB 审计日志不是独立开关，它依赖鉴权系统全程参与事件捕获。5.0 版本中，如果 security.authorization 未设为 enabled，即使 auditLog 配置合法，mongod 启动时会报错退出，错误信息类似：Failed to start audit log: Authorization must be enabled when auditLog is configured。
- 副本集所有节点（包括 arbiter）的
mongod.conf都要统一开启security.authorization: enabled - 若此前没开鉴权，需先创建管理员用户（如用
db.createUser(...)），再重启集群 - 不建议仅对部分节点开启 auditLog —— 日志格式、事件覆盖范围可能不一致，排查时容易漏行为
auditLog 的 path 和 format 选型很关键
auditLog.path 必须指向 mongod 进程有写权限的目录，且不能是 socket 文件或 stdout；auditLog.format 推荐用 JSON，比 BSON 更易被日志系统（如 Filebeat、Fluentd）解析。
-
auditLog.path示例：/var/log/mongodb/audit.log（确保mongod用户对该路径有rw权限） - 避免使用
stdout：副本集日志混杂，审计事件会被淹没，且无法轮转 - 不要设
auditLog.destination: syslog：5.0 对 syslog 支持不稳定，常出现丢事件，官方文档已标注为“not recommended”
auditLog 配置后必须滚动重启副本集
不能直接 mongod --config /etc/mongod.conf --replSet rs0 单点启动补上审计——副本集成员间配置不一致会导致 PRIMARY 拒绝同步，或者 SECONDARY 报 NodeNotFound 错误。
- 顺序：先关闭 SECONDARY → 修改其配置并启动 → 等状态变
SECONDARY→ 再对下一个节点重复 → 最后处理 PRIMARY（需先rs.stepDown()让其降级） - 每次启动后检查：
db.adminCommand({getCmdLineOpts: 1})确认auditLog已加载，且无 warning 字段 - 验证是否生效：执行一条带权限的操作（如
db.runCommand({listDatabases: 1})），然后tail -f /var/log/mongodb/audit.log查看是否有对应 JSON 条目
最容易被忽略的是权限初始化顺序：先有用户、再开 authorization、最后配 auditLog。三者缺一不可，且顺序错一步，整个副本集就卡在启动阶段。 auditLog 一旦开启，后续增删规则只能靠 auditFilter 动态调整，静态配置改完必须重启节点才生效。
