MongoDB Community Operator v0.13.0中配置requireTLS时无法禁用allowConnectionsWithoutCertificates的问题

我完全理解你遇到的这个问题有多棘手——明明严格按照MongoDB文档配置了allowConnectionsWithoutCertificates: false，甚至升级了Operator版本，可部署后的mongod依然默认开启无证书连接权限，db.adminCommand({getCmdLineOpts: 1})的输出始终显示这个参数为true。咱们一步步来定位问题根源并解决它：

1. 先确认问题核心：Operator是否强制添加了命令行参数 #

首先要排查的是，mongod的启动命令里是否被Operator硬塞了--tlsAllowConnectionsWithoutCertificates=true参数——因为MongoDB的命令行参数优先级高于配置文件，这会直接覆盖你在additionalMongodConfig里的设置。

执行以下命令查看pod内的mongod启动参数：

kubectl exec -n mongodb mongodb-0 -- ps aux | grep mongod

如果输出里包含--tlsAllowConnectionsWithoutCertificates=true，那基本可以确定是Operator的逻辑强制开启了这个参数，这是问题的关键。

2. 检查Operator日志，确认配置处理是否有错误 #

Operator在处理你的CR配置时，可能因为参数结构不支持、解析错误等原因忽略了allowConnectionsWithoutCertificates: false的设置。查看Operator的日志，过滤相关关键词：

kubectl logs -n mongodb-operator-system <your-operator-pod-name> -c manager | grep -i "allowConnectionsWithoutCertificates"

如果日志里出现“忽略参数”“解析失败”之类的提示，就能明确是配置处理环节的问题。

3. 尝试调整CR的配置结构 #

有些Operator版本会优先读取security.tls下的参数，而不是additionalMongodConfig里的嵌套配置。你可以尝试把allowConnectionsWithoutCertificates: false移到security.tls层级下，修改后的CR片段如下：

apiVersion: mongodbcommunity.mongodb.com/v1
kind: MongoDBCommunity
metadata:
  name: mongodb
  namespace: mongodb
spec:
  members: 3
  type: ReplicaSet
  version: "7.0.7"
  security:
    tls:
      enabled: true
      allowConnectionsWithoutCertificates: false # 移到这里
      certificateKeySecretRef:
        name: mongodb-server-tls
      caConfigMapRef:
        name: mongodb-ca
  additionalMongodConfig:
    net:
      tls:
        mode: requireTLS

修改后重新部署：

kubectl apply -f your-mongodb-cr.yaml -n mongodb

等待副本集重新初始化后，再执行db.adminCommand({getCmdLineOpts: 1})验证参数是否生效。

4. 临时Workaround：用InitContainer强制修改配置文件 #

如果Operator确实硬编码了allowConnectionsWithoutCertificates: true，可以通过InitContainer在mongod启动前修改配置文件，覆盖这个参数：

步骤1：确认mongod配置文件路径 #

先进入pod查看mongod的配置文件位置：

kubectl exec -n mongodb mongodb-0 -- bash -c "ps aux | grep mongod | grep -- --config"

输出类似--config /var/lib/mongodb-mms-automation/mongod.conf，记下这个路径。

步骤2：修改CR添加InitContainer #

在你的CR中添加以下podSpec配置，让InitContainer在mongod启动前修改配置文件：

apiVersion: mongodbcommunity.mongodb.com/v1
kind: MongoDBCommunity
metadata:
  name: mongodb
  namespace: mongodb
spec:
  # 其他原有配置...
  podSpec:
    initContainers:
    - name: fix-tls-config
      image: busybox:stable
      command:
      - sh
      - -c
      - |
        # 等待配置文件生成
        until [ -f /var/lib/mongodb-mms-automation/mongod.conf ]; do sleep 1; done
        # 替换参数值
        sed -i 's/allowConnectionsWithoutCertificates: true/allowConnectionsWithoutCertificates: false/' /var/lib/mongodb-mms-automation/mongod.conf
      volumeMounts:
      - name: automation-config
        mountPath: /var/lib/mongodb-mms-automation
    volumes:
    - name: automation-config
      emptyDir: {}

重新部署后，InitContainer会在每个mongod pod启动前自动修正配置文件。

5. 确认是否为Operator已知Bug #

你可以去MongoDB Kubernetes Operator的官方仓库查看Issues页面，搜索类似allowConnectionsWithoutCertificates default true的问题——如果是已知Bug，你可以关注修复进度，或者使用仓库里其他用户分享的临时解决方案。

最后验证 #

完成上述操作后，重新连接MongoDB，执行以下命令确认参数是否生效：

db.adminCommand({getCmdLineOpts: 1}).parsed.net.tls

如果输出显示allowConnectionsWithoutCertificates: false，就说明问题解决了。

内容来源于stack exchange