必须使用MongoDB Enterprise版本，Community版完全不支持AD集成；出现Unsupported SASL mechanism: GSSAPI错误基本可确认为版本问题，需通过mongod --version检查modules字段是否含enterprise或subscription，并确保Docker镜像为mongo:enterprise、RHEL/CentOS包名含mongodb-enterprise-server、Windows下mongod.exe产品名称为MongoDB Enterprise Server。
必须用 MongoDB Enterprise 版本，Community 完全不支持 AD 集成；看到 Unsupported SASL mechanism: GSSAPI 错误，基本就是版本不对。
确认 MongoDB 是 Enterprise 版本
Community 版即使编译时带 SASL 支持，也无法启用 GSSAPI 或 PLAIN（LDAP）机制。Kerberos 和 LDAP 都是二进制级能力，不是靠配置开关打开的。
- 运行
mongod --version，输出中必须含modules: enterprise或modules: subscription - Docker 环境下必须拉取
mongo:enterprise镜像，mongo:latest默认是 Community - RHEL/CentOS 用
yum list installed | grep mongo检查包名是否含mongodb-enterprise-server - Windows 上看
mongod.exe属性 → “详细信息” → “产品名称” 应为MongoDB Enterprise Server
配置 Kerberos 前必须解决 SPN 和 DNS 绑定
Kerberos 认证失败，90% 出在服务主体（SPN）与实际访问地址不一致。MongoDB 客户端发起的请求必须是 mongodb/hostname@REALM 格式，而该 hostname 必须是可解析的完整域名（FQDN）。
-
mongod启动时必须用--bind_ip m1.example.com（或配置文件中net.bindIp: m1.example.com），不能写0.0.0.0、127.0.0.1或短主机名 - AD 域控上执行：
kadmin -p admin/admin@EXAMPLE.COM addprinc -randkey mongodb/m1.example.com@EXAMPLE.COM，再导出 keytab：ktadd -k /etc/mongodb.keytab mongodb/m1.example.com@EXAMPLE.COM - 验证 DNS：
nslookup m1.example.com必须返回正确 IP；同时检查/etc/hosts是否有错误映射覆盖了真实解析 - 创建
$external用户时，Realm 大小写必须严格匹配 ——alice@EXAMPLE.COM和alice@example.com在 Kerberos 中是两个不同 principal
用 mongokerberos 和 mongoldap 快速验证配置
别等应用连不上才排查。这两个工具是 MongoDB Enterprise 自带的诊断利器，不改任何配置，只做验证。
-
mongokerberos --mode server：检查本地 Kerberos 环境、keytab 权限、SPN 注册状态，直接报出GSSAPI Error: Unspecified GSS failure的具体原因 -
mongokerberos --mode client --user alice@EXAMPLE.COM：模拟用户登录，逐阶段显示票据获取、服务票据交换、GSSAPI handshake 是否成功 -
mongoldap --config /etc/mongod.conf --user bob@marketing.example.com --password xxx：测试 LDAP 绑定和授权查询是否能返回预期角色列表 - 注意：所有工具都依赖当前 shell 的 Kerberos 票据缓存（
klist可查），mongoldap还要求配置中security.ldap.bind.queryUser和密码有效
最易被忽略的是：Kerberos 要求客户端和服务端时间偏差 ≤ 5 分钟，且所有节点必须同步到同一 NTP 源；LDAP 方式若用 saslauthd，其 socket 目录权限（r-x）和缓存过期策略（-t 参数）也常导致“明明配对了却认证失败”的现象。
