PyMongo连接MongoDB Atlas启用MONGODB-AWS认证失败，主因是凭证未被正确加载或Atlas权限配置不匹配；需检查环境变量、~/.aws/credentials（仅default profile）、元数据端点，并确认连接字符串含authMechanism=MONGODB-AWS且无username/password。
直接结论：PyMongo 连接 MongoDB Atlas 启用 MONGODB-AWS 认证失败，90% 的情况不是代码写错，而是凭证没被驱动正确加载或权限配置不匹配——尤其容易卡在“驱动根本没尝试用 AWS 凭证”这一步。
为什么 PyMongo 不会自动使用你的 AWS 凭证？
PyMongo（v4.7+）默认只从特定位置按固定顺序查找 AWS 凭证，且一旦在某个位置找到就停止搜索。它不会读取 ~/.aws/credentials 以外的配置文件，也不会自动识别未设环境变量的本地 CLI 配置。
- 驱动只检查：
AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY环境变量 →~/.aws/credentials（仅defaultprofile）→ EC2/ECS 元数据端点 - 如果你用
aws configure --profile myapp单独建了 profile，PyMongo 默认忽略它，除非你显式指定 - 在 Lambda 或容器中，若没挂载 IAM 角色或没暴露元数据端点，驱动会直接跳过 AWS 认证流程，回退到用户名密码验证（然后报
bad auth）
如何确认 PyMongo 实际用了哪种认证方式？
加一个简单诊断：强制让连接失败并捕获底层日志，看它到底试了什么。
import pymongo
import logging
<p>logging.basicConfig(level=logging.DEBUG)</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/xiazai/skill8319" title="mongodb-query"><img
src="https://img.php.cn/upload/skill/000/000/081/179196857364295.jpg" alt="mongodb-query" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/xiazai/skill8319" title="mongodb-query">mongodb-query</a>
<p>用于调试和故障排查，查询MongoDB数据库。用户需要时可以： (1) 列出所有数据库； (2) 列出数据库中的集合； (3) 执行MongoDB查询或命令。</p>
</div>
<a href="/xiazai/skill8319" title="mongodb-query" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div><h1>关键：启用驱动底层日志，观察 auth mechanism 选择过程</h1><p>client = pymongo.MongoClient(
"mongodb+srv://your-cluster.mongodb.net/?authMechanism=MONGODB-AWS&retryWrites=true&w=majority",</p><h1>注意：不要传 username/password，否则会覆盖 MONGODB-AWS</h1><p>)运行后搜日志里的 authMechanism 和 credentials 字样。如果看到 SCRAM-SHA-256 被选中，说明驱动压根没走 AWS 流程——问题出在连接字符串或环境上。
- 必须确保连接字符串含
&authMechanism=MONGODB-AWS（不能只靠 Atlas 控制台设置） - 禁止在 URI 中写
username:password@，哪怕留空也会触发 SCRAM 回退 - PyMongo 不支持在 URI 中传
authSource给 MONGODB-AWS；它固定用$external
Atlas 端最容易被忽略的三个配置点
即使凭证和代码都对，Atlas 项目仍可能拒绝 AWS 认证请求，因为权限链断在中间。
- 用户必须是
Atlas Admin或至少拥有Project Read and Write+Database User Admin角色，且该用户需明确绑定到你的 AWS IAM Role ARN（不是账户 ID） - 在 Atlas UI 的 Database Access 页面里，对应用户的
Authentication Database必须是$external，且Auth Mechanism显示为MONGODB-AWS—— 如果显示SCRAM，说明用户没重建或没保存 - 如果你用的是临时凭证（如 AssumeRole），Atlas 要求 IAM Role 的信任策略中显式允许
sts:AssumeRole，且 Principal 必须包含"Service": "ec2.amazonaws.com"或对应服务（Lambda 是lambda.amazonaws.com）
真正卡住的地方往往不是“怎么连”，而是“连的时候驱动根本没意识到该用 AWS 凭证”。先看日志里选了哪个 authMechanism，再查凭证路径和 Atlas 用户绑定状态，比反复改代码有效得多。
