amazon-web-services - 从 AWS ECS Fargate 访问 AWS RDS 的最佳方式
问题描述
我有运行 AWS ECS Fargate 的基于 Java 的容器。现在我们正在通过用户名密码组合访问 AWS RDS Postgres 数据库,但我想知道如何使这个过程更安全。
但我有一个担忧:如何避免将用户密码存储在 .psql 脚本( CREATE USER username WITH PASSWORD 'xxx'
) 中?我认为更好的选择是完全避免使用密码,但我不知道该怎么做......
从 AWS Secrets Manager 将密码加载到 Fargate 容器 - 这没关系。
请问您有什么建议吗?
编辑:我将在这里分享我的进度,以便任何人都可以复制
文档:https ://docs.aws.amazon.com/.../.../.../UsingWithRDS.IAMDBAuth.html
- 第一阶段 -
目标:IAM Auth 的 PoC(使用 IAM 用户)
- 我已准备好我的 RDS 实例以允许 IAM Auth
- 我已经创建了 IAM 用户,将新的 IAM 策略附加到它并创建了一个访问密钥。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "rds-db:*",
"Resource": "arn:aws:rds-db:eu-central-1:666:dbuser:db-YFVS/iam_user"
}
]
}
注意:在资源中使用的是 resourceId,而不是 arn!(这可以在 rds 实例的配置选项卡中找到)
CREATE USER iam_user;
GRANT rds_iam TO iam_user;
- 我测试了连接(导出访问密钥后)
# Generate token
export RDSHOST="dev.aaaaa.eu-central-1.rds.amazonaws.com"
export PGPASSWORD="$(aws rds generate-db-auth-token --hostname $RDSHOST --port 5432 --region eu-central-1 --username iam_user )"
#Connect
psql "host=$RDSHOST port=5432 dbname=mydb user=iam_user password=$PGPASSWORD"
mydb->
现在我想继续 Java 实现并进一步转移到 Fargate
- 第二阶段 -
目标:在 Python 应用程序中实现 IAM Auth 我已按照此处的教程进行操作,并且效果很好。我使用了我在上一步中创建的 IAM 用户的 IAM 凭证(密钥、秘密)。另外,我已经从 ENV 而不是配置文件加载了凭据。
https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.Connecting.Python.html
import psycopg2
import sys
import boto3
ENDPOINT="postgresmydb.123456789012.us-east-1.rds.amazonaws.com"
PORT="5432"
USR="jane_doe"
REGION="us-east-1"
DBNAME="mydb"
session = boto3.Session(region_name='us-east-1',
aws_access_key_id=os.environ['AWS_ACCESS_KEY_ID'],
aws_secret_access_key=os.environ['AWS_SECRET_ACCESS_KEY'])
token = client.generate_db_auth_token(DBHostname=ENDPOINT, Port=PORT, DBUsername=USR, Region=REGION)
try:
conn = psycopg2.connect(host=ENDPOINT, port=PORT, database=DBNAME, user=USR, password=token)
cur = conn.cursor()
cur.execute("""SELECT now()""")
query_results = cur.fetchall()
print(query_results)
except Exception as e:
print("Database connection failed due to {}".format(e))
解决方案
根据评论。
不使用密码访问 RDS PostgreSQL 的一种方法是使用IAM 数据库身份验证:
使用此身份验证方法,您在连接到数据库实例时无需使用密码。相反,您使用身份验证令牌。
有一些限制需要考虑,其中之一是:
您的数据库实例每秒的最大连接数可能会受到限制,具体取决于其数据库实例类和您的工作负载。
推荐阅读
- elasticsearch - Logstash 定期挂起(无响应)。如何识别和修复?
- version-control - 无法使用化石 scm 提交
- c# - IMA ADCPM 转 Wav
- angular - 如何过滤在 ngOnInit 期间检索到的值并将它们显示在屏幕上?
- python - 使用权重对随机森林分类的字符串名义变量进行标签编码
- typescript - 打字稿:有没有办法说,“这个字段是可选的,但如果它存在,它必须有一个值?”
- java - 如果没有连接到服务器如何更改url
- python - 使用 Tensorflow/Keras 将 2 个输入的 ValueError 输入 DCGAN
- django - 跨多个模型关系的 Django Query
- javascript - 有没有办法让 tensorflow js 从 json 文件而不是 csv 读取/训练数据?