MongoDB副本集如何开启认证授权_KeyFile文件的生成与配置-MongoDB-PHP中文网

keyfile必须chmod 600且所有节点路径内容完全一致，同时启用security.keyfile与security.authorization，初始化前需清空local库并统一配置重启。

mongodb副本集如何开启认证授权_keyfile文件的生成与配置

KeyFile 生成必须用 `chmod 600`，否则 mongod 拒绝启动

副本集开启认证后，keyFile 不是普通密码文件，而是用于节点间通信的共享密钥。MongoDB 要求它严格限制权限：只允许文件所有者读写，其他用户不能有任何访问权限。如果权限是 644 或 755，mongod 启动时会直接报错：ERROR: keyfile must be accessible only by owner。

Linux/macOS 下生成后立刻执行：chmod 600 /path/to/keyfile
Windows 不检查权限，但建议统一用 openssl rand -base64 756 > keyfile 生成（避免换行或空格）
不要用 echo "abc" > keyfile —— 明文字符串太短、含换行、无加密强度，会被拒绝
文件内容不能有 BOM、不能含中文、不能有多余空行；可用 xxd keyfile | head -n1 确认开头无异常字节

副本集所有节点的 `keyFile` 必须完全一致且路径相同

不是“内容相同”就够了——mongod 进程启动时读取的是配置中指定的绝对路径。如果 A 节点配了 /data/keyfile，B 节点配了 /etc/mongod/keyfile，即使文件内容一模一样，节点间握手仍会失败，日志里反复出现：no valid authentication credentials provided 或 auth error: saslStart failed。

mongodb-query

用于调试和故障排查，查询MongoDB数据库。用户需要时可以： (1) 列出所有数据库； (2) 列出数据库中的集合； (3) 执行MongoDB查询或命令。

下载

推荐把 keyfile 放在每个节点统一位置，比如 /etc/mongod/keyfile
配置中必须用绝对路径写进 security.keyFile，相对路径会被忽略
确认所有节点上该路径可读：sudo -u mongod cat /etc/mongod/keyfile > /dev/null（模拟 mongod 用户读取）
不要把 keyfile 放进 /data/db 目录——重启时可能被误删或备份脚本扫走

`security.authorization: enabled` 和 `security.keyFile` 必须同时启用

只开 authorization 不等于副本集内认证生效；只配 keyFile 也不触发用户鉴权。两者是绑定关系：前者让 mongod 检查客户端连接的身份，后者让副本集成员之间用共享密钥完成内部认证。漏掉任一个，都会导致奇怪现象——比如主节点能连，但从节点 rs.status() 显示 HEALTH: 0，或者初始化副本集时报 Quorum check failed。

配置文件中这两项必须同在 security: 块下，例如：

security:
  keyFile: /etc/mongod/keyfile
  authorization: enabled

改完配置后，必须逐个节点重启 mongod（不能只 reload），否则旧进程仍以无认证模式运行

重启后先连本地 mongo --port 27017，再执行 db.runCommand({connectionStatus: 1})，检查 authInfo.authenticatedUsers 是否为空 —— 非空说明认证已生效

初始化副本集前必须停掉所有节点并清空 `local` 数据库

很多人在已有数据的单机上直接加 keyFile 并运行 rs.initiate()，结果卡在 STARTUP2 状态，日志狂刷 replSet could not find member xxx in config。这是因为带认证的副本集要求初始配置干净：任何残留的 local.system.replset 或未清理的 oplog 都会和新 keyFile 冲突。