EC2同VPC可连，如何用Python的mongoengine从本地连AWS DocumentDB？

核心原因 #

AWS DocumentDB默认仅允许同一VPC内的资源访问，你的本地PC不在目标VPC内，因此无法直接连接。以下是两种可行方案，包含你接受的启用TLS的配置：

方案1：通过SSH隧道临时访问（推荐测试用，无需修改DocumentDB配置） #

利用同VPC的EC2作为跳板，建立本地端口到DocumentDB的转发隧道：

1. 在本地终端执行SSH隧道命令：

   ssh -L 27017:<你的DocumentDB端点>:27017 ec2-user@<EC2公网IP> -i <你的EC2密钥文件.pem>
   

   替换命令中的占位符为实际值，保持终端窗口开启。
2. 修改本地环境变量：将MONGO_HOST设置为localhost，其他变量保持不变。
3. 运行你原有的mongoengine代码即可访问，隧道会自动将本地请求转发到DocumentDB。

方案2：启用TLS并配置公网访问（适合长期测试） #

步骤1：修改DocumentDB配置

• 在AWS控制台找到你的DocumentDB集群，启用TLS加密，并下载AWS官方根CA证书（保存为rds-combined-ca-bundle.pem）。
• 调整DocumentDB的安全组规则，添加一条入站规则：允许你本地PC的公网IP访问27017端口。

步骤2：更新mongoengine连接代码

在原有代码基础上添加TLS相关参数：

connect(
    os.getenv('MONGO_NAME'),
    username=os.getenv('MONGO_USER'),
    password=os.getenv('MONGO_PASSWORD'),
    host=os.getenv('MONGO_HOST'),
    port=int(os.getenv('MONGO_PORT', 27017)),
    tls=True,
    tlsCAFile='/本地路径/rds-combined-ca-bundle.pem'
)

替换/本地路径/为你保存CA证书的实际路径，运行代码即可通过公网访问带TLS的DocumentDB。

注意事项 #

• SSH隧道方案安全性高，关闭终端即断开访问，适合临时测试。
• 公网访问方案务必限制安全组的IP范围，仅允许你的本地IP，避免不必要的暴露。
• 若启用TLS后需要EC2继续无TLS访问，需确保DocumentDB集群的TLS设置为"可选"而非"强制"。

内容的提问来源于stack exchange，提问作者Jiseoup Lim