无法将SpringBoot(Kotlin)应用连接到DocumentDB的问题排查

以下是针对你的配置和操作步骤，可能导致连接失败的核心问题及对应解决办法：

1. MongoDB URI配置错误 #

你的application.yml中MongoDB URI存在两处关键问题：

• 主机地址无效：mongodb://user:password@amazonaws.com:27017/中的amazonaws.com并非有效的DocumentDB集群端点，需替换为集群实际端点（格式类似xxx.cluster-xxxx.region.docdb.amazonaws.com，可在AWS控制台DocumentDB集群详情页获取）。
• PEM证书参数不适用Java驱动：Java版MongoDB驱动（Spring Data MongoDB依赖此驱动）不支持在URI中通过ssl_ca_certs指定PEM文件，该参数仅针对MongoDB Shell或非Java客户端，Java应用需通过JVM信任库配置CA证书。

修正后的URI示例：

spring:
  data:
    mongodb:
      uri: mongodb://user:password@<你的实际集群端点>:27017/docdb?ssl=true&retryWrites=false
      database: docdb

2. JVM未加载自定义信任库 #

你的xyz.sh脚本生成了JKS格式的信任库/tmp/certs/rds-truststore.jks，但未配置JVM参数让Spring Boot应用加载该信任库，导致JVM默认使用系统信任库，无法验证DocumentDB的证书。

解决办法： #

在启动应用时添加JVM参数指定信任库路径和密码：

java -Djavax.net.ssl.trustStore=/tmp/certs/rds-truststore.jks -Djavax.net.ssl.trustStorePassword=<你的truststorePassword> -jar your-app.jar

若通过Docker部署，需在CMD或ENTRYPOINT中加入这些参数，例如：

ENTRYPOINT ["java", "-Djavax.net.ssl.trustStore=/tmp/certs/rds-truststore.jks", "-Djavax.net.ssl.trustStorePassword=<你的truststorePassword>", "-jar", "app.jar"]

3. 证书导入脚本的路径问题 #

脚本中awk命令生成的rds-ca-*.pem文件输出在当前工作目录，而非${mydir}（/tmp/certs）下，导致后续循环可能找不到证书文件，进而导入失败。

修正脚本： #

修改awk命令指定输出目录：

awk 'split_after == 1 {n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1}{print > "'${mydir}'/rds-ca-" n ".pem"}' < ${mydir}/global-bundle.pem

同时修改循环遍历路径：

for CERT in ${mydir}/rds-ca-*; do
  # 原导入逻辑不变
done

4. 网络与安全组限制 #

• 检查DocumentDB集群安全组是否允许应用所在网络（如ECS/EKS子网IP、本地测试IP）访问27017端口。
• 若应用部署在VPC外，需确认DocumentDB是否开启公网访问（生产环境建议通过VPC peering或AWS Direct Connect连接，不建议开公网）。
• 用telnet <集群端点> 27017测试端口连通性，确认网络可达。

5. 账号权限问题 #

确认你使用的DocumentDB账号拥有连接目标数据库docdb的权限，可通过AWS控制台的DocumentDB查询编辑器测试账号的连接和权限。

内容的提问来源于stack exchange，提问作者Rahul Kumar