RHEL8下MongoDB5.0 systemctl启动失败（dbpath/keyfile权限问题）咨询

问题1 原因说明 #

• 官方MongoDB的systemd服务单元默认配置了User=mongod、Group=mongod参数，即便你用root身份执行systemctl start mongod，systemd也会将mongod进程的运行身份降权为mongod用户，而非直接用root运行。
• 最常见诱因是SELinux拦截：你的dbpath和keyfile都放在了非默认的自定义路径（默认路径为/var/lib/mongo），RHEL8默认开启SELinux的情况下，自定义路径没有匹配mongod进程的访问上下文，即便属主为mongod:mongod也会被拦截，导致启动失败。
• 其次可能是权限位不符合MongoDB要求：MongoDB强制要求keyfile的权限仅允许运行用户读写，也就是权限位必须为600，如果keyfile设置了组或其他用户的可读权限，就算属主正确也会主动拒绝启动；另外dbpath目录如果没有设置执行位（也就是目录权限不是700），mongod用户也无法进入目录读写数据。
• 另外你配置中开启了fork: true，systemd如果配置为Type=forking模式，需要mongod用户有权限写入pid文件路径/var/run/mongodb，如果该目录属主不是mongod，也会导致启动失败。

问题2 配置方法 #

第一步 正确分配目录/文件权限 #

执行以下命令设置所有相关路径的权限：

# 修正dbpath权限
chown -R mongod:mongod /data/mongodb/mongo
chmod 700 /data/mongodb/mongo

# 修正keyfile权限
chown mongod:mongod /data/key/keyfile
chmod 600 /data/key/keyfile

# 修正日志路径权限
chown -R mongod:mongod /var/log/mongodb
chmod 755 /var/log/mongodb

# 修正pid目录权限，配置开机自动重建正确权限的目录
echo "d /var/run/mongodb 0755 mongod mongod -" | tee /etc/tmpfiles.d/mongodb.conf
systemd-tmpfiles --create

第二步 修复SELinux上下文 #

执行以下命令给自定义路径添加正确的SELinux规则，避免拦截：

# 给dbpath添加SELinux上下文规则
semanage fcontext -a -t mongod_var_lib_t '/data/mongodb/mongo(/.*)?'
restorecon -Rv /data/mongodb/mongo

# 给keyfile添加SELinux上下文规则
semanage fcontext -a -t mongod_var_lib_t '/data/key/keyfile'
restorecon -v /data/key/keyfile

第三步 配置普通用户无需root启动服务 #

有两种常用方案可选：

方案1：配置sudo规则（实现最简单）

编辑sudoers文件：

visudo

添加以下内容，将<用户名>替换为实际需要授权的系统用户：

<用户名> ALL=(ALL) NOPASSWD: /usr/bin/systemctl start mongod, /usr/bin/systemctl stop mongod, /usr/bin/systemctl restart mongod, /usr/bin/systemctl status mongod

配置完成后，该用户即可通过sudo systemctl start mongod无需输入密码启动服务。

方案2：配置polkit规则（无需加sudo前缀）

创建polkit规则文件/etc/polkit-1/rules.d/50-mongodb-manage.rules，添加以下内容，同样替换<用户名>为实际授权用户：

polkit.addRule(function(action, subject) {
    if (action.id == "org.freedesktop.systemd1.manage-units" &&
        action.lookup("unit") == "mongod.service" &&
        subject.user == "<用户名>") {
        return polkit.Result.YES;
    }
});

保存后重启polkit服务生效：

systemctl restart polkit

之后该用户直接执行systemctl start mongod就不需要root权限。

内容的提问来源于stack exchange，提问作者Sandeepa Kariyawasam