Ansible初始化MongoDB用户时mongosh连接失败的主因是4.4+默认禁用localhost异常认证，需显式配置认证参数；容器化部署须端口探活；角色须按库指定；TLS启用时需匹配SCRAM-SHA-256机制。
Ansible 初始化 MongoDB 用户时，mongosh 连接失败的常见原因
不是密码错，也不是权限低，而是 MongoDB 4.4+ 默认禁用 localhost 异步认证（即“localhost exception”只在无用户时生效）。一旦你先建了 admin 用户，后续所有连接（包括 Ansible 的 mongosh）都必须带认证凭据——但 Ansible 模块往往默认走无认证直连，直接报 Unauthorized 或 Failed to authenticate。
实操建议：
- 确保 Ansible 任务中显式指定
host、port、username、password和authentication_database（通常是admin） - 避免用
community.mongodb.mongodb_shell执行初始化命令；改用community.mongodb.mongodb_user模块，它内部处理认证握手更可靠 - 首次运行前，确认 MongoDB 启动时未启用
security.authorization: true—— 否则必须先用 localhost exception 创建第一个用户，再开启授权
Terraform + mongod 容器化部署中，mongosh 初始化脚本不执行
典型现象：Terraform 调用 docker_container 启动 MongoDB，再用 local-exec 跑 mongosh --eval，但脚本静默退出，用户没创建成功。根本原因是容器启动后 MongoDB 进程还没就绪（监听端口未 open），mongosh 就已超时失败。
实操建议：
- 不要依赖固定 sleep；改用
until nc -z localhost 27017; do sleep 2; done做端口探活（需宿主机装nc） -
mongosh命令加--quiet --eval，避免输出干扰；错误重定向到日志文件，方便排查Connection refused或Authentication failed - 如果用
mongodb/mongodb-community-server镜像，注意其默认配置不启用 auth，需挂载自定义mongod.conf并设security.authorization: enabled
用 community.mongodb.mongodb_user 创建用户时，roles 写错导致权限过宽或无效
MongoDB 的角色是数据库粒度的，不是全局的。roles: ["root"] 看似省事，但 root 只在 admin 库生效；若想让某用户能读写 myapp 库，必须显式写 roles: [{ role: "readWrite", db: "myapp" }]，否则创建成功但实际无权操作。
实操建议：
- 避免使用
userAdminAnyDatabase或root，最小权限原则：应用用户只配readWrite，监控用户只配clusterMonitor - 若需跨库权限（如聚合查多个库），必须为每个目标库单独声明 role，MongoDB 不支持通配符 db 名
- 注意
db字段值必须小写且不含特殊字符；myApp和myapp是两个不同库，别被命名习惯骗了
初始化后应用仍连不上：TLS 和 authMechanism 不匹配
当 MongoDB 配置了 TLS（net.tls.mode: requireTLS），但 Ansible/Terraform 初始化时没指定 authMechanism: SCRAM-SHA-256，或应用连接串漏了 ?authMechanism=SCRAM-SHA-256，就会出现「用户存在但认证失败」的假象。
实操建议：
- 检查 MongoDB 日志是否有
Unsupported SASL mechanism—— 这说明客户端用了旧机制（如 MONGODB-CR），而服务端只支持 SHA-256 - Ansible 中用
community.mongodb.mongodb_user时，加参数auth_mechanism: "SCRAM-SHA-256"；Terraform 的local-exec则在mongosh命令里加--authenticationMechanism SCRAM-SHA-256 - 若用自签名证书，
mongosh必须加--tls --tlsAllowInvalidCertificates，否则连接直接被拒绝，根本到不了认证环节
真正卡住人的地方，往往不是语法写错，而是 MongoDB 的认证流程分阶段：先连上、再选库、再验凭据、最后校验角色作用域——每一步断在哪，错误表现都差不多，得靠日志里的具体提示词反推。
