MongoDB Controllers for Kubernetes Operator 是当前唯一受支持的生产级部署方式，MongoDB Enterprise Kubernetes Operator 已于2026年正式弃用；必须使用新 Helm 仓库 https://mongodb.github.io/helm-charts 下的 mongodb/mongodb-kubernetes chart，并配置 Cloud Manager/Ops Manager API Key、强制启用 TLS、显式设置 externalAccess 及 publishNotReadyAddress: true。

直接上结论：用 MongoDB Controllers for Kubernetes Operator 部署副本集是当前唯一受支持的生产级方式，MongoDB Enterprise Kubernetes Operator 已于 2026 年正式弃用（最后版本生命周期已结束）。

确认 Operator 版本和 Helm 仓库

别跳过这步——很多连接失败或 CRD 不生效的问题都源于用了旧仓库或废弃 chart。

• 必须使用新仓库：https://mongodb.github.io/helm-charts，旧的 stable/mongodb-enterprise 等已失效
• 安装的是 mongodb/mongodb-kubernetes chart，不是 mongodb/enterprise-operator（后者对应已弃用的旧 Operator）
• 检查本地 Helm repo 是否更新：helm repo update；若之前添加过旧源，先 helm repo remove mongodb 再重新 add

部署 Operator 前必须配置 Cloud Manager / Ops Manager API Key

Operator 启动后会立即尝试连接 Cloud Manager 或 Ops Manager（6.0.x+），没配好就卡在 Pending 状态，日志里反复报 Unauthorized 或 connection refused。

Kubernetes Skills

针对 Kubernetes 仪表板和 Web UI 的浏览器自动化。适用于与 Kubernetes Dashboard、Grafana、ArgoCD UI 或其他 Web 界面交互。需要设置 MCP_BROWSER_ENABLED=true。

下载

• 登录 Cloud Manager UI → Kubernetes Settings → Generate Key and YAML
• 生成的 config-map.yaml 必须提前 apply，且其中的 baseUrl 要能被 Operator Pod 访问（比如不能填 localhost 或内网不可达地址）
• API Key 的权限需包含 Automation Administrator 角色，仅 Viewer 会导致资源创建被拒绝

定义 MongoDBReplicaSet CR 时 TLS 是强制开关项

不显式声明 spec.security.tls.enabled，Operator 默认禁用 TLS——但 Cloud Manager 6.0.10+ 实际要求所有新副本集启用 TLS，否则部署会卡在 WaitingForAgent 状态。

• 若用自签名证书，必须同时提供：spec.security.certsSecretPrefix（指向含 ca.pem、server.pem 等的 Secret）和 spec.security.tls.ca（CA 公钥内容）
• 若用 Let’s Encrypt 或云厂商证书，确保 Secret 中的 key 名为 tls.crt 和 tls.key，Operator 才能自动挂载
• 错误示例：spec.security.tls.enabled: true 但没配 certsSecretPrefix → Pod 启动失败，报错 failed to load TLS certificate

外部访问必须显式配置 externalAccess

副本集成员默认只能在集群内 DNS 解析（如 mongo-0.mongo-svc.mongodb.svc.cluster.local），从外部应用连接时，光开 Service NodePort 没用——Operator 不会自动暴露成员地址。

• 必须在 CR 中设置：externalAccess: {}，否则 Operator 不创建 LoadBalancer 类型的外部服务
• 每个 Pod 会得到一个独立的 <pod-name>-svc-external</pod-name> Service，名称不可改，端口默认 27017
• publishNotReadyAddress: true 是硬性要求，设成 false 会导致 DNS 记录延迟生成，客户端首次连接超时

真正容易被忽略的是：Cloud Manager 对 Kubernetes 集群的准入校验发生在 CR 创建后的 30 秒内。如果 Operator Pod 尚未完成初始化（比如 configmap 没加载完、API Key 权限未同步），CR 会被静默拒绝，且事件里不报错——得去 Operator Pod 的日志里搜 Failed to create automation config 才能看到真实原因。