如何解决从AWS ECS Fargate访问AWS RDS的最佳方法
我有运行AWS ECS Fargate的基于Java的容器。现在,我们正在通过用户名-密码组合访问AWS RDS Postgres数据库,但我想知道如何使此过程更加安全。
但是我有一个担忧:如何避免在.psql脚本中存储用户密码(CREATE USER username WITH PASSWORD 'xxx'
)?我认为更好的选择是避免完全使用密码,但是我不确定该怎么做...
从AWS Secrets Manager将密码加载到Fargate容器-可以。
请问您有什么建议吗?
编辑:我将在这里分享我的进度,以便任何人都可以复制
文件:https://docs.aws.amazon.com/.../.../.../UsingWithRDS.IAMDBAuth.html
-第一阶段-
目标:IAM身份验证的PoC(使用IAM用户)
- I have prepared my RDS instance to allow IAM Auth
- 我已经创建了IAM用户attached new IAM Policy to it,并创建了访问密钥。
{
"Version": "2012-10-17","Statement": [
{
"Sid": "VisualEditor0","Effect": "Allow","Action": "rds-db:*","Resource": "arn:aws:rds-db:eu-central-1:666:dbuser:db-YFVS/iam_user"
}
]
}
注意:在资源中使用的是resourceId,而不是arn! (可以在rds实例的“配置”标签中找到
CREATE USER iam_user;
GRANT rds_iam TO iam_user;
- I tested the connection(导出访问密钥后)
# Generate token
export RDSHOST="dev.aaaaa.eu-central-1.rds.amazonaws.com"
export PGPASSWORD="$(aws rds generate-db-auth-token --hostname $RDSHOST --port 5432 --region eu-central-1 --username iam_user )"
#Connect
psql "host=$RDSHOST port=5432 dbname=mydb user=iam_user password=$PGPASSWORD"
mydb->
现在,我想着手进行Java实现,然后转到Fargate
-第二阶段-
目标:在Python应用中实施IAM身份验证
我在这里按照教程学习,效果很好。我使用了上一步中创建的IAM用户的IAM凭据(密钥,机密)。另外,我已经从ENV而不是配置文件中加载了凭据。
https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.Connecting.Python.html
import psycopg2
import sys
import boto3
ENDPOINT="postgresmydb.123456789012.us-east-1.rds.amazonaws.com"
PORT="5432"
USR="jane_doe"
REGION="us-east-1"
DBNAME="mydb"
session = boto3.Session(region_name='us-east-1',aws_access_key_id=os.environ['AWS_ACCESS_KEY_ID'],aws_secret_access_key=os.environ['AWS_SECRET_ACCESS_KEY'])
token = client.generate_db_auth_token(DBHostname=ENDPOINT,Port=PORT,DBUsername=USR,Region=REGION)
try:
conn = psycopg2.connect(host=ENDPOINT,port=PORT,database=DBNAME,user=USR,password=token)
cur = conn.cursor()
cur.execute("""SELECT now()""")
query_results = cur.fetchall()
print(query_results)
except Exception as e:
print("Database connection failed due to {}".format(e))
解决方法
基于评论。
不使用密码访问RDS PostgreSQL的方法是使用IAM Database Authentication:
使用这种身份验证方法,您在连接数据库实例时无需使用密码。而是使用身份验证令牌。
要考虑一些limitations,其中之一是:
您的数据库实例每秒最大连接数可能会受到限制,具体取决于数据库实例类和您的工作量。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。