mongodb仅enterprise版支持kerberos认证，社区版完全不支持；跨域失败主因是ad域信任链与票据路径断裂，而非mongodb配置问题。
Kerberos 在 MongoDB 大数据平台中不是“开箱即用”的功能，必须使用 MongoDB Enterprise 版本，且跨域场景下失败几乎必然发生——根本原因不在 MongoDB 配置，而在 Kerberos 域信任链和票据传递路径断裂。
确认 MongoDB 是否支持 Kerberos（Enterprise 限定）
MongoDB 社区版完全不支持 Kerberos；只有 MongoDB Enterprise 版本内置 GSSAPI 认证机制。如果你用的是 apt install mongodb-org 或 Docker Hub 上的官方社区镜像，无论怎么改配置都无效。
- 检查版本：运行
mongod --version，输出中必须含enterprise字样 - 验证模块：启动时加
--setParameter authenticationMechanisms=GSSAPI，若报错unrecognized parameter，说明非企业版 - 注意：Atlas 云服务不暴露 Kerberos 接口，该认证仅适用于自托管的 Enterprise 部署
mongod 启动时 keytab 文件加载失败的典型表现
最常见的现象是 mongod 日志里反复出现 GSSAPI: Failed to acquire credentials 或 krb5_get_init_creds_password: Preauthentication failed。这通常不是密码错，而是 keytab 文件权限、路径或主体名不匹配。
本文档主要讲述的是用Apache Spark进行大数据处理——第一部分：入门介绍；Apache Spark是一个围绕速度、易用性和复杂分析构建的大数据处理框架。最初在2009年由加州大学伯克利分校的AMPLab开发，并于2010年成为Apache的开源项目之一。 在这个Apache Spark文章系列的第一部分中，我们将了解到什么是Spark，它与典型的MapReduce解决方案的比较以及它如何为大数据处理提供了一套完整的工具。希望本文档会给有需要的朋友带来帮助；感
-
KRB5_KTNAME环境变量必须在 mongod 进程启动前生效，systemd 服务需在/etc/sysconfig/mongod中设置，不能只写在 shell 脚本里 - keytab 文件必须由
ktpass（Windows AD）或ktutil（Linux KDC）生成，且主体名格式严格为mongodb/hostname@REALM，不能省略/hostname段 - 文件权限必须为
600，且属主是运行 mongod 的用户（如mongod），否则 GSSAPI 初始化直接跳过 - 用
klist -k -t /usr/local/mongodb.keytab验证 keytab 是否可读、主体是否存在、时间戳是否有效
跨域 Kerberos 认证失败的三个硬性条件
当客户端和 MongoDB 服务器不在同一 Active Directory 域（比如 client@A.COM，mongod@B.COM），仅靠 MongoDB 配置无法打通。Kerberos 协议本身要求域间存在双向信任，并且票据转发链完整。
- AD 域之间必须建立 **双向可传递信任（two-way transitive trust）**，单向信任或不可传递信任会导致
TGT renewal failed - 客户端发起请求时，
krb5.conf的realms段必须显式声明目标域的 KDC 地址，例如：[realms]<br>B.COM = {<br> kdc = kdc.b.com<br> admin_server = kadmin.b.com<br>} - 客户端主机的 DNS 必须能正向/反向解析 MongoDB 服务器的 FQDN（如
mongo01.b.com），且hostname -f输出与 keytab 中主体的 hostname 一致；不一致会触发Server not found in Kerberos database
Node.js 驱动连接时 authenticationDatabase 和 username 的写法
驱动层容易忽略 $external 数据库的强制语义，以及用户名必须是完整主体名（含 realm）。
- 连接字符串中
--authenticationDatabase '$external'的单引号在 shell 中不可省略，否则会被 shell 解析为空格分隔 - Node.js 驱动代码中，
authMechanism: 'GSSAPI'必须显式指定，即使 URL 里写了authMechanism=GSSAPI，某些旧版驱动仍会 fallback 到 SCRAM -
username必须传入完整主体，如"mongodb/mongo01.b.com@B.COM"，不能只写"mongodb"或"mongodb@B.COM"；后者在跨域时大概率被 KDC 拒绝 - 若用
mongoshell 连接，命令应为：mongo --host mongo01.b.com --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username='mongodb/mongo01.b.com@B.COM'
跨域 Kerberos 最难调试的点，往往卡在 DNS 解析、krb5.conf realm 映射、或 AD 域信任类型上——这些和 MongoDB 本身无关，但任何一环断掉，mongod 日志只会显示模糊的 GSSAPI 初始化失败，不会告诉你具体是哪个域名查不到 KDC。
