MongoDB 5.0+强制要求keyfile权限为400（仅所有者可读），600会被拒绝启动；须先chmod 400再chown，且需排查SELinux、父目录权限、配置路径及Docker挂载覆盖等问题。
因为MongoDB 5.0+强制校验keyfile权限为400，哪怕600也会被拒绝启动——这不是警告，是直接退出。
chmod 600 在 MongoDB 5.0+ 里根本不行
旧教程说“chmod 600就行”，那是针对 4.2 及更早版本。2026 年主流发行版默认装的是 5.0+，它只接受400（所有者只读，group/other 无任何位）。日志里出现 permissions on /path/to/keyfile are too open，不是让你调宽松，而是必须收紧到400。
-
600含“组可读”位，MongoDB 启动时一检查就失败，不给任何机会 -
ls -l /etc/mongod-keyfile输出必须是-r-------- 1 mongodb mongodb - 别在 Dockerfile 里写
RUN chmod 600，那只会让你白忙活
chown 和 chmod 的顺序错了会悄悄回退
某些 Linux 系统（尤其是 RHEL/CentOS）下，chown 会重置权限位。如果你先 chown mongodb:mongodb keyfile 再 chmod 400，chown 可能已把权限改回 600，而你完全没察觉。
- 正确顺序：
chmod 400 /etc/mongod-keyfile && chown mongodb:mongodb /etc/mongod-keyfile - 验证命令：
sudo -u mongodb cat /etc/mongod-keyfile必须能成功输出内容 - 属主必须是
mongod进程实际运行用户，用ps -u mongodb -o comm=确认，常见为mongodb或mongod
权限对了还报错？问题可能藏在别处
很多人 ls -l 看完权限和属主都对，重启还是失败。错误其实不在 keyfile 文件本身，而在更隐蔽的位置：
-
security.keyFile配置项路径写错：多一个/、用了~或相对路径（如./keyfile），mongod 找不到文件，系统报Permission denied，MongoDB 误判为权限问题 - SELinux 启用时，
ls -Z /path/to/keyfile显示上下文类型不对（如user_home_t），需执行chcon -t mongod_etc_t /path/to/keyfile - 父目录权限不够：
mongod用户对/data/keys/没有x（执行）权限，进不去目录，自然读不了里面的 keyfile
Docker 里 keyfile 权限容易被挂载覆盖
用 -v 绑定挂载时，宿主机上的文件权限和属主会直接覆盖容器内设置，Dockerfile 里的 RUN chmod 完全无效。
- 方案一：宿主机上先执行
chmod 400 && chown 999:999 /host/path/keyfile（999 是官方 mongo 镜像默认 UID） - 方案二：容器以
--user root启动，进容器后手动chown 999:999 /keyfile && chmod 400 /keyfile，再切回mongod用户启服务 - 方案三：用
docker cp把 keyfile 复制进运行中容器，再在容器内修正权限（绕过挂载覆盖）
真正卡住的从来不是“怎么设权限”，而是“以为设对了，其实没生效”。400 是硬门槛，但 SELinux、父目录、挂载方式、配置路径这些点，任何一个漏掉都会让整个副本集起不来——它们不报 keyfile 错误，却让 keyfile 失效。
