MongoDB启动失败且报Permission denied是因SELinux处于enforcing模式时未正确配置上下文标签和端口策略：需为数据目录设mongodb_var_lib_t标签、日志目录设mongodb_log_t标签、27017端口设mongodb_port_t类型，并启用mongod_can_network_connect等必要布尔值。
为什么MongoDB启动失败且报Permission denied？
SELinux处于enforcing模式时，MongoDB默认无法访问其数据目录（如/var/lib/mongo）、日志路径（如/var/log/mongodb）或监听端口（如27017），系统日志里会看到类似avc: denied { read } for pid=... comm="mongod" name="mongod.conf"的拒绝记录。这不是配置写错了，是SELinux策略没放行。
给MongoDB数据目录打上mongodb_var_lib_t标签
这是最常漏掉的一步：SELinux不认路径，只认上下文标签。MongoDB的数据目录必须标记为mongodb_var_lib_t，否则即使权限全开也会被拦。
- 先确认当前上下文：
ls -Z /var/lib/mongo，如果显示system_u:object_r:default_t:s0之类，就说明没对 - 临时修复（重启后失效）：
chcon -R -t mongodb_var_lib_t /var/lib/mongo - 永久生效（推荐）：
semanage fcontext -a -t mongodb_var_lib_t "/var/lib/mongo(/.*)?"，再执行restorecon -Rv /var/lib/mongo - 注意：如果用了自定义路径（比如
/data/mongo），也要用semanage fcontext加规则，不能只chcon
放开MongoDB需要的网络端口和文件操作权限
仅改目录标签还不够。MongoDB要读配置、写日志、绑定端口、可能还要访问/proc获取系统信息，这些都得在策略里明确允许。
- 确保
mongodb_port_t已分配给27017：semanage port -a -t mongodb_port_t -p tcp 27017（如果提示已存在，跳过） - 日志目录需
mongodb_log_t标签：semanage fcontext -a -t mongodb_log_t "/var/log/mongodb(/.*)?"，再restorecon - 配置文件（如
/etc/mongod.conf）应保持system_u:object_r:mongod_etc_t:s0，别手动chcon错成etc_t——那会导致读取失败 - 若启用了
smallFiles: true或使用WiredTiger引擎，还需确保sysadm_r或mongod_t域有sys_admin能力，否则mmap可能被拒
调试时别直接setenforce 0了事
关SELinux能跑通，但掩盖了真实问题。真要定位策略缺失，得靠ausearch和audit2why。
- 复现问题后，立即执行：
ausearch -m avc -ts recent | audit2why，它会告诉你哪条规则缺了、对应哪个SELinux布尔值 - 常见需开启的布尔值：
setsebool -P mongod_can_network_connect on（允许连外部DB）、mongod_disable_trans off（保持域转换，别关） -
sealert -a /var/log/audit/audit.log会生成更可读的建议，但注意它有时推荐过度宽松的方案（比如开unconfined_mongod_t），别照搬 - 真正麻烦的是容器场景：宿主机SELinux策略不会自动透传到容器内，
podman run --security-opt label=type:mongod_t这类显式声明才有效
SELinux策略不是开关游戏，每个restorecon和semanage命令背后都是对访问向量的精确控制。标错一个mongodb_var_lib_t，或者忘了给端口打标，服务就卡在Failed to bind socket里出不来。
