如何解决使用Terraform创建具有功能IAM身份验证,旋转主密码的RDSAmazon Aurora PostgreSQL
我被赋予一项工作,使用Terraform创建RDS集群模块,该模块将允许消费者提升自己的集群/数据库等。这很简单,但这是第二个要求我把头发拉出来。 DBA想知道如何执行以下操作:
- 在机密管理器中存储和旋转主密码。
- 通过自动化(无需任何操作)创建其他数据库,用户等。
- 利用IAM身份验证,从而不必创建/验证用户。
我已经看过许多不同的方法来做这件事,因为我对此还很陌生,所以似乎没有什么可以作为“最佳解决方案”。谁能给我一个简短的清单,说明他们可能是如何完成类似任务的?您是使用lambda函数存储和旋转密码的,还是您将主用户分配给了IAM角色?您是在使用TF postgres提供程序来创建角色还是在编写自己的代码以实现自动化?
我非常感谢任何指导。 谢谢堆
解决方法
所描述的问题是相当普遍的,但我认为您可以将几乎所有内容都置于terraform的直接控制之下。
- 在机密管理器中存储和旋转主密码。
秘密经理是必经之路。但是,密码轮换将是一个问题。在AWS控制台中启用旋转后,AWS会为您神奇地配置一个lambda。如果您不使用控制台,则command line steps会涉及更多内容,因为它们需要使用aws无服务器回购(SAR)。可悲的是,对SAR的官方支持是not yet avaiable。因此,您必须像使用SAR的链接文档中一样,使用local-exec
预配器运行aws cli来创建旋转lambda。
- 通过自动化(无需任何操作)创建其他数据库,用户等。
您已经指出,TF PostgreSQL Provider是首先要考虑的问题。
- 利用IAM身份验证,无需创建/验证用户。
可以使用iam_database_authentication_enabled启用此功能。但是您应该知道使用IAM身份验证时会有一些limitations。最值得注意的是,仅支持PostgreSQL 9.6.9和10.4或更高版本,并且每秒的连接数会受到影响。
,针对将来希望做类似事情的任何人进行第1点的后续操作。
我最终使用cloudformation_stack terraform资源来创建秘密附件和秘密旋转-将它们的参数值从我的terraform资源中传递给他们。
当terraform引入这些资源时,可以完美,轻松地切换工作。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。