如何为MongoDB大数据平台部署Kerberos认证_解决跨域身份识别问题

MongoDB仅Enterprise版支持Kerberos认证，社区版完全不支持；跨域失败主因是AD域信任链与票据路径断裂，而非MongoDB配置问题。

Kerberos 在 MongoDB 大数据平台中不是“开箱即用”的功能，必须使用 MongoDB Enterprise 版本，且跨域场景下失败几乎必然发生——根本原因不在 MongoDB 配置，而在 Kerberos 域信任链和票据传递路径断裂。

确认 MongoDB 是否支持 Kerberos（Enterprise 限定）

MongoDB 社区版完全不支持 Kerberos；只有 MongoDB Enterprise 版本内置 GSSAPI 认证机制。如果你用的是 apt install mongodb-org 或 Docker Hub 上的官方社区镜像，无论怎么改配置都无效。

• 检查版本：运行 mongod --version，输出中必须含 enterprise 字样
• 验证模块：启动时加 --setParameter authenticationMechanisms=GSSAPI，若报错 unrecognized parameter，说明非企业版
• 注意：Atlas 云服务不暴露 Kerberos 接口，该认证仅适用于自托管的 Enterprise 部署

mongod 启动时 keytab 文件加载失败的典型表现

最常见的现象是 mongod 日志里反复出现 GSSAPI: Failed to acquire credentials 或 krb5_get_init_creds_password: Preauthentication failed。这通常不是密码错，而是 keytab 文件权限、路径或主体名不匹配。

• KRB5_KTNAME 环境变量必须在 mongod 进程启动前生效，systemd 服务需在 /etc/sysconfig/mongod 中设置，不能只写在 shell 脚本里
• keytab 文件必须由 ktpass（Windows AD）或 ktutil（Linux KDC）生成，且主体名格式严格为 mongodb/hostname@REALM，不能省略 /hostname 段
• 文件权限必须为 600，且属主是运行 mongod 的用户（如 mongod），否则 GSSAPI 初始化直接跳过
• 用 klist -k -t /usr/local/mongodb.keytab 验证 keytab 是否可读、主体是否存在、时间戳是否有效

跨域 Kerberos 认证失败的三个硬性条件

当客户端和 MongoDB 服务器不在同一 Active Directory 域（比如 [email protected]，[email protected]），仅靠 MongoDB 配置无法打通。Kerberos 协议本身要求域间存在双向信任，并且票据转发链完整。

• AD 域之间必须建立 **双向可传递信任（two-way transitive trust）**，单向信任或不可传递信任会导致 TGT renewal failed
• 客户端发起请求时，krb5.conf 的 realms 段必须显式声明目标域的 KDC 地址，例如：
  

  [realms]<br>B.COM = {<br>  kdc = kdc.b.com<br>  admin_server = kadmin.b.com<br>}

• 客户端主机的 DNS 必须能正向/反向解析 MongoDB 服务器的 FQDN（如 mongo01.b.com），且 hostname -f 输出与 keytab 中主体的 hostname 一致；不一致会触发 Server not found in Kerberos database

Node.js 驱动连接时 authenticationDatabase 和 username 的写法

驱动层容易忽略 $external 数据库的强制语义，以及用户名必须是完整主体名（含 realm）。

• 连接字符串中 --authenticationDatabase '$external' 的单引号在 shell 中不可省略，否则会被 shell 解析为空格分隔
• Node.js 驱动代码中，authMechanism: 'GSSAPI' 必须显式指定，即使 URL 里写了 authMechanism=GSSAPI，某些旧版驱动仍会 fallback 到 SCRAM
• username 必须传入完整主体，如 "mongodb/[email protected]"，不能只写 "mongodb" 或 "[email protected]"；后者在跨域时大概率被 KDC 拒绝
• 若用 mongo shell 连接，命令应为：
  mongo --host mongo01.b.com --authenticationMechanism=GSSAPI --authenticationDatabase='$external' --username='mongodb/[email protected]'

跨域 Kerberos 最难调试的点，往往卡在 DNS 解析、krb5.conf realm 映射、或 AD 域信任类型上——这些和 MongoDB 本身无关，但任何一环断掉，mongod 日志只会显示模糊的 GSSAPI 初始化失败，不会告诉你具体是哪个域名查不到 KDC。