AWS DocumentDB IAM身份验证失败 求排查方案

必查配置项 #

1. 数据库用户创建验证 #

确认创建用户时的ARN完整且正确：

• 已将<account_id>替换为实际AWS账号ID，无占位符残留
• 授权的readWrite角色对应的db: "twitter"是你要访问的目标数据库

2. IAM权限调整 #

放弃使用过宽的AmazonDocDBFullAccess和AmazonDocDBElasticFullAccess，改用最小权限策略，至少包含docdb:connect动作并指定目标集群ARN：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "docdb:connect",
            "Resource": "arn:aws:docdb:us-east-1:<account_id>:cluster/aws-documentdb-iam-auth"
        }
    ]
}

• 替换<account_id>为你的AWS账号ID
• 确保Resource字段是你的DocumentDB集群的完整ARN

3. 修正mongosh连接命令 #

IAM认证不需要手动传入Access Key和Secret Key，正确命令如下（推荐启用TLS）：

mongosh --host 'aws-documentdb-iam-auth.cluster-<random_string>.us-east-1.docdb.amazonaws.com' \
  --port 27017 \
  --authenticationDatabase '$external' \
  --authenticationMechanism 'MONGODB-AWS' \
  --tls \
  --db twitter

或使用URI格式：

mongosh "mongodb://aws-documentdb-iam-auth.cluster-<random_string>.us-east-1.docdb.amazonaws.com:27017/twitter?authSource=$external&authMechanism=MONGODB-AWS&tls=true"

• 核心错误：你之前手动传入-u和-p参数，不符合MONGODB-AWS认证机制要求，该机制会自动从AWS凭证链（环境变量、~/.aws/credentials、IAM角色等）获取凭证

4. 本地凭证有效性检查 #

执行以下命令确认当前使用的AWS凭证属于目标IAM用户：

aws sts get-caller-identity

输出的Arn必须与创建数据库用户时使用的ARN完全一致：arn:aws:iam::<account_id>:user/iam_test_user

5. 集群IAM认证启用状态 #

登录AWS控制台，进入DocumentDB集群详情页，检查配置标签下的IAM身份验证是否为已启用。若未启用：

• 修改集群关联的参数组，将iam_authentication参数设置为enabled
• 重启集群使配置生效

进阶排查 #

• 添加--verbose参数到mongosh命令，查看详细错误日志，定位具体失败原因（如权限不足、凭证不匹配）
• 确认你的本地IP在DocumentDB集群的安全组入站规则中，排除网络连通性问题

内容的提问来源于stack exchange，提问作者user13698295