如何解决pymongo[aws]通过IAM角色连接AWS Lambda与MongoDB Atlas超时问题？

你的代码存在两个关键问题导致端口解析错误：

1. URI拼接语法错误：代码中@clustername前缺少字符串连接符，导致URI结构混乱；
2. 密钥未URL编码：AWS_SECRET_ACCESS_KEY包含/等特殊字符，直接拼接会破坏URI格式规范，被错误解析为端口部分。

修复后的代码示例（推荐使用+srv格式适配Atlas集群）：

import os
import urllib.parse
from pymongo import MongoClient

# 对包含特殊字符的密钥进行URL编码
encoded_secret = urllib.parse.quote_plus(os.environ.get("AWS_SECRET_ACCESS_KEY"))
cluster_name = "your-cluster-name"
database_name = "your-database-name"

# 构建符合规范的连接URI
uri = f"mongodb+srv://{os.environ.get('AWS_ACCESS_KEY_ID')}:{encoded_secret}@{cluster_name}/{database_name}?retryWrites=true&w=majority&authMechanism=MONGODB-AWS"
client = MongoClient(uri)

若想使用无凭证简化URI（让pymongo自动从Lambda环境获取临时凭证），写法如下：

from pymongo import MongoClient

uri = "mongodb+srv://your-cluster-name/?authMechanism=MONGODB-AWS&retryWrites=true&w=majority"
client = MongoClient(uri)

1. 网络连通性验证

   • 若Lambda部署在VPC内：
     • 确认已配置MongoDB Atlas与VPC的对等连接，或把Lambda所在VPC的CIDR段添加到Atlas的IP白名单；
     • 检查Lambda的安全组是否允许出站流量到MongoDB Atlas的端口（默认27017，+srv格式会自动解析对应端口）；
   • 若Lambda使用公网访问：
     • 临时将Atlas的IP白名单设为0.0.0.0/0测试连通性（生产环境建议用VPC对等），同时确认Lambda执行角色有访问公网的权限（需配置NAT网关）。

2. IAM权限与信任关系检查

   • 确认MongoDB Atlas中配置的IAM角色，已将Lambda执行角色的ARN添加到信任列表；
   • 检查Lambda执行角色是否包含sts:AssumeRole权限，且策略允许访问MongoDB相关服务；
   • 验证Atlas给IAM角色授予的权限是否匹配需求（如readWrite，仅dbAdmin是管理权限，不一定包含数据访问权限）。

3. 依赖与配置参数检查

   • 确认pymongo[aws]版本与MongoDB Atlas版本兼容，避免版本不匹配导致握手失败；
   • 检查Lambda依赖包是否完整，确保botocore等pymongo[aws]依赖已正确打包（推荐用Lambda层管理依赖）；
   • 调整Lambda执行超时时间（默认3秒，建议设置为10-15秒），首次连接Atlas可能需要更长时间建立会话。

4. 临时凭证自动获取验证

   • 使用简化URI时，pymongo会自动从Lambda环境获取临时凭证（含AWS_SESSION_TOKEN），无需手动传入密钥；
   • 可在Lambda中打印os.environ中的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN，确认临时凭证是否正常生成。

内容的提问来源于stack exchange，提问作者Tom3652