mongodb-aws身份验证仅适用于启用该机制的mongodb atlas集群，需在atlas控制台database access中添加iam角色arn作为数据库用户，连接字符串必须为mongodb+srv://@cluster...?authsource=$external&authmechanism=mongodb-aws，且驱动版本需支持（如node.js mongodb@6.7+），同时确保aws iam角色具备atlas:connect权限及正确信任策略。
可以直接用 mongodb+srv:// 连接字符串配合 authMechanism=mongodb-aws 连接到 Atlas，但前提是集群已启用 IAM 身份验证、IAM 角色已正确绑定到 Atlas 项目，且客户端环境（如 Lambda 或 EC2）具备有效的 AWS 凭证上下文。
确认 Atlas 集群已启用 MONGODB-AWS 认证
这个机制不是默认开启的。必须在 Atlas 控制台中手动启用，否则即使连接字符串写对了也会报 Authentication failed 或 Unsupported auth mechanism: mongodb-aws。
- 进入 Atlas 项目 → 对应集群 → Database Access 标签页 → 点击 + ADD NEW DATABASE USER
- 选择 AWS IAM 作为 Authentication Method（不是 “Password” 或 “LDAP”）
- 填写 IAM 角色 ARN，例如
arn:aws:iam::123456789012:role/AtlasLambdaRole；该角色必须已在 AWS 中创建，并被授予atlas:Connect权限（通过AmazonDocumentDBFullAccess或最小化自定义策略） - 保存后，该角色才能作为数据库用户登录 —— 注意：这里不设密码，也不生成用户名/密码组合
构造正确的连接字符串
连接字符串里不能带用户名和密码字段，否则驱动会尝试用它们做 SCRAM-SHA 认证，直接跳过 mongodb-aws 流程。
- 正确写法：
mongodb+srv://@cluster0.example.mongodb.net/testdb?authSource=$external&authMechanism=MONGODB-AWS - 错误写法：
mongodb+srv://myuser:mypass@...（会触发密码认证失败） -
authSource必须是$external，这是 MongoDB 识别外部认证源的固定值 - 如果运行在有临时凭证的环境（如 Lambda、EC2 实例配置了 IAM Role），无需额外传
aws_session_token；只有本地调试时用aws sts get-session-token获取临时凭证，才需加&authMechanismProperties=AWS_SESSION_TOKEN:<token></token>
驱动版本与参数兼容性
老版本驱动（如 Node.js 的 mongodb@4.13 之前）不支持 MONGODB-AWS，会静默回退到默认机制或抛出解析异常。
- Node.js 推荐使用
mongodb@6.7+，并确保mongosh是2.2.0+ - Python 的
pymongo@4.7+才完整支持authMechanismProperties和 session token 注入 - 连接时若遇到
Failed to parse connection string，先检查是否误加了username:password@，再确认驱动版本是否支持MONGODB-AWS - Java 驱动需
mongodb-driver-sync@4.11+，且必须显式设置AuthMechanismProperty.AWS_SESSION_TOKEN（如有需要）
常见超时与连接泄漏问题
在无服务器环境（如 Lambda）中，mongodb-aws 认证本身不慢，但驱动初始化阶段若未复用客户端，会导致每次调用都重走 STS AssumeRole 流程，叠加 DNS 解析和 TLS 握手，极易超时。
- 务必把
MongoClient实例定义在 handler 外部，实现跨调用复用 - 添加
&maxIdleTimeMS=60000防止空闲连接堆积（Lambda 冷启动时旧连接可能已失效） - 若集群是分片 + SRV，加上
&srvMaxHosts=3，避免驱动尝试连接全部 mongos 实例（尤其在 Lambda 并发高时） - 不要依赖
retryWrites=true来掩盖认证失败 —— 它只重试写操作，不重试初始 SASL 握手
最容易被忽略的是 IAM 角色信任策略（Trust Policy）没允许 sts:AssumeRole 被 Atlas 服务调用，或者 Atlas 项目未将该角色显式添加为数据库用户 —— 这两类配置缺失都会导致连接被拒绝，且错误信息极其模糊，只能靠 CloudTrail 日志或 Atlas Audit Log 排查。
