如何使用 IAM DB 身份验证和 Python 在 MySQL RDS 中进行身份验证

Question

我有一个运行 MySQL 5.6.39 并启用了 IAM DB 身份验证的 AWS RDS 数据库。

首先，我成功完成了Tutorial: Configuring a Lambda Function to Access Amazon RDS in an Amazon VPC，这是我下一步的起点。

我想使用 IAM 凭据登录，因此按照 this 和 this 教程，我做到了：

1. 在创建 RDS MySQL 实例时，我选择了Enabling IAM database authentication。

2. 创建了一个名为lambda的用户：

   CREATE USER 'lambda' IDENTIFIED WITH AWSAuthenticationPlugin as 'RDS';
   GRANT ALL PRIVILEGES ON test_db.* TO 'lambda'@'%';
   FLUSH PRIVILEGES;
   

3. 创建了一个 IAM 策略，并将其附加到我用作 lambda 函数的执行角色的角色：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "rds-db:connect"
         ],
         "Resource": [
           "<DB-ARN>/lambda"
         ]
       }
     ]
   }
   

4. 创建了一个 lambda 函数：

   import sys
   import boto3
   import logging
   import pymysql
   
   #rds settings
   rds_host  = "<RDS-ENDPOINT>"
   username = "lambda"
   db_name = "test_db"
   
   logger = logging.getLogger()
   logger.setLevel(logging.INFO)
   
   client = boto3.client('rds',region_name='eu-west-2')
   token = client.generate_db_auth_token(rds_host,3306, name)
   ssl = {'ca': 'rds-combined-ca-bundle.pem'} 
   logger.info("token: "+ token)
   
   conn = pymysql.connect(rds_host, user=username, passwd=token, db=db_name, connect_timeout=5, ssl=ssl)
   
   logger.info("SUCCESS: Connection to RDS mysql instance succeeded")
   def handler(event, context):
     ...
   

5. 我收到以下错误：

   error: (1045, "Access denied for user 'lambda'@'<LAMBDA_IP>' (using password: YES)")
   

我使用 AWS CLI 从附加了策略的 EC2 实例中尝试查找是否是 python 错误。

1. 获取令牌：

   aws rds generate-db-auth-token --hostname <RDS-ENDPOINT> --port 3306 --username lambda
   

2. 使用我在上一步中获得的令牌连接到数据库：

   mysql -h <RDS-ENDPOINT> -u lambda --enable-cleartext-plugin --password='<TOKEN>'
   

3. 我遇到了同样的错误：

   mysql: [Warning] Using a password on the command line interface can be insecure.
   ERROR 1045 (28000): Access denied for user 'lambda'@'<EC2_IP>' (using password: YES)
   

Answer 1

政策不正确！

Resource 不是数据库 ARN，而是 "arn:aws:rds-db:<AWS_REGION>:<AWS_ACCOUNT_ID>:dbuser:<AWS_DB_RESOURCE_ID>/<DB_USERNAME>"

要从管理控制台获取此信息，您可以访问：

• AWS_REGION - 区域代码，例如 eu-west-2 或来自 here 的任何其他代码。
• AWS_ACCOUNT_ID - 从Account Settings 获取。
• AWS_DB_RESOURCE_ID - 在数据库页面的Details\Configuration\Resource ID 中找到它，它以db- 开头。
• DB_USERNAME - 是 lambda，因为它是在第 2 步中创建的。

顺便说一句，正如Michael - sqlbot 在这里和answer 中指出的那样，令牌的生成是本地的，因此获取它不应被解释为获取正确的密码。