MongoDB Atlas 和 Amazon DocumentDB 支持 AWS IAM 无密码认证，但仅限 Atlas M10+ 付费集群（需手动启用）和 DocumentDB 5.0+ 集群版；主用户不可用 IAM 登录，PyMongo 必须安装 pymongo[aws] 并在连接字符串中设 authMechanism=MONGODB-AWS、authSource=$external，且 username 为 IAM ARN、password 留空。
MongoDB Atlas 和 Amazon DocumentDB 支持 AWS IAM 角色无密码认证，但必须满足服务类型、版本、驱动配置三重条件，缺一不可。
确认你的 MongoDB 服务是否支持 MONGODB-AWS 机制
不是所有 MongoDB 部署都支持 MONGODB-AWS 身份验证机制：
-
MongoDB Atlas：仅限付费项目（M10+），且需在 Atlas 控制台中显式启用 IAM 身份验证（默认关闭） -
Amazon DocumentDB：仅支持集群版 5.0+，不支持快照或只读副本直连；主用户无法用 IAM ARN 登录，只能用于普通用户/角色 -
自托管 MongoDB：原生不支持，除非自行编译并启用--auth+--setParameter enableMongoAWSAuthMechanism=1（非官方推荐，生产慎用）
PyMongo 连接时必须安装 aws 扩展并正确传参
光装 pymongo 不够，必须带 [aws] extras 安装，否则 MONGODB-AWS 机制根本不可用：
python -m pip install pymongo[aws]
连接时不能靠环境变量“碰运气”，应显式指定机制和凭证来源：
- 使用
username字段传入 IAM 角色 ARN（如arn:aws:iam::123456789123:role/my-mongodb-role），不要 传 Access Key - 必须设置
authMechanism="MONGODB-AWS" - 若角色需
AssumeRole，则需确保 Boto3 能访问 STS，且目标角色信任当前执行角色（Trust Policy中包含sts:AssumeRole） - 示例连接字符串：
mongodb+srv://<username>@<cluster-url>/?authMechanism=MONGODB-AWS&authSource=$external</cluster-url></username>
用户名和密码字段在 URI 中要留空，但 authSource 必须是 $external
很多人卡在连接报错 Authentication failed，其实是 URI 构造错误：
-
username和password在连接字符串中**必须 URL 编码为空值**（即写成:或省略），不能填假值、占位符或密钥 -
authSource参数**必须显式设为$external**，这是 IAM 用户/角色的固定认证数据库，填admin或其他库会静默失败 - 如果你用
MongoClient构造函数而非 URI，username参数仍需传 ARN，但password参数必须传None或完全省略 - 错误示范：
mongodb+srv://myrole:dummy@cluster/?authSource=admin→ 必然失败
临时凭证过期和跨区域调用容易被忽略
MONGODB-AWS 依赖底层 Boto3 获取临时 STS 凭证，而这个过程有隐性约束：
- Boto3 默认使用
us-east-1区域调用 STS，如果 Atlas 集群或 DocumentDB 在ap-southeast-1，需显式指定aws_session_token或配置region_name，否则可能因签名区域不匹配报InvalidSignatureException - 临时凭证有效期默认 1 小时，但 MongoClient 初始化后不会自动刷新；长连接场景下（如 Web 应用常驻进程），需配合
boto3.Session().get_credentials()手动轮换或启用refreshable凭证提供者 - EC2 实例上运行时，若实例角色权限不足（缺少
sts:GetCallerIdentity或sts:AssumeRole），错误信息往往模糊，建议先在实例上运行aws sts get-caller-identity排查
