只有 MongoDB Enterprise 版本 + WiredTiger 存储引擎 + 合法 KMS 服务接入，三者缺一不可才能启用静态加密；Community 版完全不支持，且加密开启后不可关闭。
只有 MongoDB Enterprise 版本 + WiredTiger 存储引擎 + 正确配置密钥管理服务（KMS），才能启用静态加密；Community 版本完全不支持，硬编码或 patch 都不可行。
确认当前部署是否满足加密前提
静态加密不是“开关式功能”，它依赖三个刚性条件同时成立：
- 必须使用
MongoDB Enterprise（非 Community）；社区版即使编译进 WiredTiger 也无法启用加密选项 - 存储引擎必须为
WiredTiger（mongod --storageEngine wiredTiger或配置文件中storage.engine: wiredTiger） - 必须已接入合法 KMS 服务（如阿里云 KMS、AWS KMS、GCP Cloud KMS），且 MongoDB 进程有权限调用其
GenerateDataKey和DecryptDataKey接口
执行 db.serverStatus().storageEngine 查看 name 字段是否为 wiredTiger；执行 db.version() 确认版本 ≥ 3.2（但建议 ≥ 4.4，因低版本 KMS 兼容性差）。
配置文件中启用 WiredTiger 静态加密
加密开关在 storage.wiredTiger.engineConfig 下，不是全局开关，也不是 per-database 设置：
- 必须在
mongod.conf中显式配置encryptionKeyFile或kmip段（Enterprise 仅支持这两种方式，不接受环境变量或命令行参数） - 若用 KMIP 协议（企业私有 KMS），需配置
kmip.serverName、kmip.port、kmip.clientCertificateFile等，且证书必须由 KMIP 服务器信任的 CA 签发 - 若用密钥文件（仅限测试），
encryptionKeyFile必须是 96 字节的二进制密钥（openssl rand -out keyfile 96），且文件权限必须为600，mongod 启动用户必须可读 - 首次启用时，
mongod会拒绝启动，除非指定--repair或清空dbPath；已有数据无法“就地加密”，必须 dump/restore
示例片段（KMIP 方式）：
storage:
engine: wiredTiger
wiredTiger:
engineConfig:
kmip:
serverName: kms.example.com
port: 5696
clientCertificateFile: /etc/mongodb/client.pem
keyIdentifier: "mongodb-cluster-key-01"
启动后验证加密是否生效
不能只看 mongod 是否启动成功——很多配置错误会导致加密静默失效：
- 检查日志中是否出现
Encrypted storage engine initialized（不是 warning 或 info 级别） - 执行
db.runCommand({getCmdLineOpts: 1})，确认返回中parsed.storage.wiredTiger.engineConfig存在且非空 - 创建新集合后，用
db.getCollectionInfos({name: "test"})查看options.encryptedFields—— 注意：该字段为空不等于未加密，因为静态加密作用于数据文件层，而非集合元数据 - 最可靠方式：停库，用十六进制编辑器打开
dbPath下任意.wt文件（如collection-123--456789.wt），搜索明文字段值 —— 若搜不到，基本可判定加密生效
常见失败场景与绕不过的限制
生产环境中最容易卡住的地方，往往不在配置本身：
-
kmip连接超时却报Failed to initialize encrypted storage engine，实际是 DNS 解析失败或防火墙拦截了 5696 端口，需用telnet kms.example.com 5696验证连通性 - 升级 MongoDB 小版本（如 6.0.12 → 6.0.13）后加密失效：Enterprise 版本的密钥格式可能变更，必须用同版本 mongod 启动，不能混用
- 备份恢复陷阱：物理备份（
cp -r dbPath）恢复到未启用加密的实例会直接报错；逻辑备份（mongodump）虽可用，但恢复后数据是明文，需重新启用加密并 reload - 加密开启后无法关闭：MongoDB 官方明确声明
TDE cannot be disabled once enabled，误操作只能重建集群
真正麻烦的不是“怎么开”，而是“开完之后所有运维动作都得重审”——备份策略、监控指标、故障恢复流程、甚至 DBA 的本地调试方式，全得按加密上下文重写。没做全链路验证就上线，等于把锁装在门上却把钥匙焊死在锁芯里。
