必须用非root用户启动mongod进程，否则副本集初始化会失败或被系统策略拦截；因MongoDB二进制设setuid强制降权，root启动会导致崩溃、oplog异常及同步中断。
必须用非root用户启动mongod进程，否则副本集初始化会失败或被系统策略拦截。
为什么不能用root跑mongod
Linux系统（尤其是CentOS/RHEL 8+、Ubuntu 20.04+）默认禁止mongod以root身份启动，即使配置了fork=true，服务也会在启动后几秒内崩溃，并在日志中输出类似错误：ERROR: child process failed, exited with error number 100。根本原因是MongoDB二进制文件设置了setuid保护机制，强制降权；若强行绕过（如加--nojournal或修改SElinux），会导致oplog写入异常、副本同步中断等不可逆问题。
创建专用用户并分配目录权限
用useradd新建低权限用户（如mongod），不要复用已有业务账号：
- 执行
sudo useradd --system --no-create-home --shell /usr/sbin/nologin mongod - 创建数据与日志目录（如
/var/lib/mongodb、/var/log/mongodb），然后用sudo chown -R mongod:mongod /var/lib/mongodb /var/log/mongodb - 确认SELinux上下文正确（RHEL/CentOS）：
sudo semanage fcontext -a -t mongod_var_lib_t "/var/lib/mongodb(/.*)?"，再sudo restorecon -Rv /var/lib/mongodb
配置文件里显式指定运行用户
MongoDB 4.2+ 支持在mongod.conf中用processManagement.runAsUser字段锁定执行身份，比systemd的User=更可靠（避免systemd未生效时手动启动出错）：
processManagement: fork: true pidFilePath: /var/run/mongodb/mongod.pid runAsUser: mongod
注意：runAsUser只在Linux有效；Windows/macOS忽略该字段。同时确保pidFilePath所在目录也归属mongod用户，否则mongod无法写入pid文件导致启动失败。
systemd服务文件需同步适配
若用systemd管理服务，/etc/systemd/system/mongod.service中必须包含：
-
User=mongod和Group=mongod（不能只写User） -
PermissionsStartOnly=true（允许ExecStartPre阶段以root改权限） -
ExecStartPre=/usr/bin/chown -R mongod:mongod /var/lib/mongodb /var/log/mongodb（兜底保障）
改完记得sudo systemctl daemon-reload && sudo systemctl restart mongod。检查是否生效：ps aux | grep mongod看USER列是否为mongod，且sudo -u mongod mongo --eval "db.runCommand({ping:1})"能连通。
最容易被忽略的是：副本集初始化命令rs.initiate()必须在非root用户启动的mongod实例上执行——如果某节点仍用root启动过一次，其local库里的system.replset元数据可能残留root uid标记，后续切换到mongod用户后会因权限不足拒绝加载，表现为replSetInitiate quorum check failed。
