从 AWS ECS Fargate 访问 AWS RDS 的最佳方式

Question

我有运行 AWS ECS Fargate 的基于 Java 的容器。 现在我们通过用户名密码组合访问 AWS RDS Postgres 数据库，但我想知道如何使这个过程更安全。

但我有一个问题：如何避免在 .psql 脚本中存储用户密码（ CREATE USER username WITH PASSWORD 'xxx' ）？ 我认为更好的选择是完全避免使用密码，但我不知道该怎么做......

将密码加载到 Fargate 容器来自 AWS Secrets Manager - 这没问题。

请问您有什么建议吗？

---

编辑：我将在这里分享我的进展，以便任何人都可以复制
文档： https : //docs.aws.amazon.com/.../.../.../UsingWithRDS.IAMDBAuth.html

- 第一阶段 -
目标：IAM 身份验证的 PoC（使用 IAM 用户）

1. 我已准备好我的 RDS 实例以允许 IAM 身份验证
2. 我已经创建了 IAM 用户， 将新的 IAM 策略附加到它并创建了一个访问密钥。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "rds-db:*",
            "Resource": "arn:aws:rds-db:eu-central-1:666:dbuser:db-YFVS/iam_user"
        }
    ]
}

注意：在资源中使用的是resourceId，而不是arn！ （这可以在 rds 实例的配置选项卡中找到）

3. 我在我的数据库中创建了用户

CREATE USER iam_user; 
GRANT rds_iam TO iam_user;

4. 我测试了连接（导出访问密钥后）

# Generate token
export RDSHOST="dev.aaaaa.eu-central-1.rds.amazonaws.com"
export PGPASSWORD="$(aws rds generate-db-auth-token --hostname $RDSHOST --port 5432 --region eu-central-1 --username iam_user )"

#Connect
psql "host=$RDSHOST port=5432 dbname=mydb user=iam_user password=$PGPASSWORD"

mydb->

现在我想继续 Java 实现并进一步迁移到 Fargate

- 第二阶段 -
目标：将 IAM 身份验证实施到 Python 应用程序中我已经按照此处的教程进行操作，并且效果很好。 我使用了我在上一步中创建的 IAM 用户的 IAM 凭证（密钥、秘密）。 另外，我已经从 ENV 而不是配置文件加载了凭据。

https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.Connecting.Python.html

import psycopg2
import sys
import boto3

ENDPOINT="postgresmydb.123456789012.us-east-1.rds.amazonaws.com"
PORT="5432"
USR="jane_doe"
REGION="us-east-1"
DBNAME="mydb"

session = boto3.Session(region_name='us-east-1',
                        aws_access_key_id=os.environ['AWS_ACCESS_KEY_ID'],
                        aws_secret_access_key=os.environ['AWS_SECRET_ACCESS_KEY'])

token = client.generate_db_auth_token(DBHostname=ENDPOINT, Port=PORT, DBUsername=USR, Region=REGION)

try:
    conn = psycopg2.connect(host=ENDPOINT, port=PORT, database=DBNAME, user=USR, password=token)
    cur = conn.cursor()
    cur.execute("""SELECT now()""")
    query_results = cur.fetchall()
    print(query_results)
except Exception as e:
    print("Database connection failed due to {}".format(e))                
                

Answer 1

根据评论。

一种不使用密码访问 RDS PostgreSQL 的方法是使用IAM 数据库身份验证：

使用此身份验证方法，您在连接到数据库实例时无需使用密码。 相反，您使用身份验证令牌。

有一些限制需要考虑，其中之一是：

您的数据库实例每秒的最大连接数可能会受到限制，具体取决于其数据库实例类和您的工作负载。