如何使用 Amazon RDS 管理员凭证实现单用户密钥轮换 安全博客

• 2026-01-27 13:49:37

如何使用 Amazon RDS 管理凭证实现单用户密钥轮换

关键要点

在本文中，您将学习如何通过 Amazon RDS 管理凭证实现单用户密钥的安全轮换，以满足安全性和合规性标准。此方法避免了用户自行更改密码以及多个用户具有相同权限的问题。

您可能有安全或合规的标准，禁止数据库用户更改自己的凭证和多个用户具有相同权限的情况。AWS Secrets Manager 提供了两种轮换策略，用于包含 Amazon 关系数据库服务 (Amazon RDS) 凭证的秘密： 单用户 和 交替用户。

在上述情况下，单用户轮换和交替用户轮换都无法满足您的安全或合规标准。单用户轮换通过在秘密中使用数据库用户凭证自行轮换假设用户具有更改密码的权限。交替用户轮换使用来自另一个秘密的 Amazon RDS 管理凭证来创建和更新 clone 用户凭证，这意味着有两个有效用户凭证具有相同的权限。

在本文中，您将学习如何实现一个修改后的交替用户解决方案，该方案使用 Amazon RDS 管理用户凭证来轮换数据库凭证，而不创建相同的 clone 用户。此修改后的轮换策略在数据库密码更改和秘密更新之间创建了短暂的延迟。在更新新密码之前，这段短暂的延迟可能会导致使用旧凭证的数据库调用被拒绝。请在您的环境中测试，以确定这段延迟是否在可接受范围内。

实施步骤

在此实施步骤中，您将学习如何通过修改现有的交替用户轮换模板来实现修改后的轮换策略。为此，您需要完成以下步骤：

配置要实施修改后轮换策略的数据库凭证秘密上的交替用户轮换。修改您的 AWS Lambda 轮换函数模板代码，以实现修改后的轮换策略。测试修改后的轮换策略，并验证秘密已成功轮换且未创建 clone 用户。

配置数据库凭证秘密的交替用户轮换

请遵循此 AWS 安全博客文章中关于 在 Amazon RDS 实例上设置交替用户轮换 的步骤。在 Secrets Manager 控制台中配置数据库用户秘密的轮换时，在 轮换计划 选项卡中取消选中立即在存储秘密时轮换。下一次轮换将在您的计划下开始的复选框。确保默认的交替用户轮换代码不会通过数据库的用户表创建 clone 用户。

修改 Lambda 函数轮换模板以实施修改的轮换策略

在 Secrets Manager 控制台中，从左侧菜单选择 Secrets。然后，在 秘密名称 列中选择新数据库用户秘密的名称。

在 Secrets 页面选择 轮换 选项卡，然后选择 Lambda 轮换函数 下的链接。

从轮换 Lambda 菜单中，下载 选择 下载函数代码zip。

解压缩 zip 文件。在代码编辑器中打开 lambdafunctionpy 文件，并进行以下代码更改以实施修改后的轮换策略。

以下代码修改显示了如何修改 MySQL 交替用户轮换代码模板 的轮换函数。您必须在交替用户轮换代码模板的 CreateSecret 和 SetSecret 步骤中进行类似的更改，以适应您的数据库引擎类型。

为了进行所需的更改，删除 灰色斜体 中的代码行，并添加 粗体 的行。

在 createsecret() 中

以下代码建议删除 clone 后缀用户名的创建。

删除：

python # 获取在原始用户和带 clone 后缀的用户之间交替的用户名 currentdict[username] = getaltusername(currentdict[username])

在 setsecret() 中

以下代码建议删除 clone 后缀用户名的创建以及在条件逻辑中对这些用户名的后续检查。

保留：

python # 从环境变量获取用户名字符限制 usernamelimit = int(osenvironget(USERNAMECHARACTERLIMIT 16))

删除：

python # 获取在原始用户和带 clone 后缀的用户之间交替的用户名 currentdict[username] = getaltusername(currentdict[username])

保留：

python # 检查用户名是否在版本的正确长度要求范围内

删除：

python if currentdict[username]endswith(clone) and len(currentdict[username]) gt usernamelimit

添加：

python if len(currentdict[username]) gt usernamelimit

银河加速器官网

保留：

python raise ValueError(Unable to clone user username length with clone appended would exceed s characters usernamelimit) # 确保当前用户和待定用户匹配

删除：

python if getaltusername(currentdict[username]) != pendingdict[username]

添加：

python if currentdict[username] != pendingdict[username]

删除：

python def getaltusername(currentusername) 获取当前传入的用户名的交替用户名。 clonesuffix = clone if currentusernameendswith(clonesuffix) return currentusername[(len(clonesuffix) 1)] else return currentusername clonesuffix

以下代码建议删除在数据库中创建新 clone 用户的逻辑，并轮换现有用户的密码。

保留：

python with conncursor() as cur

删除：

python curexecute(SELECT User FROM mysqluser WHERE User = s pendingdict[username]) # 如果不存在，则创建用户 if currowcount == 0 curexecute(CREATE USER s IDENTIFIED BY s (pendingdict[username] pendingdict[password]))

保留：

python # 获取 MySQL 的版本 curexecute(SELECT VERSION()) ver = curfetchone()[0]

删除：

python # 将 TLS 选项复制到新用户 escapedencryptionstatement = getescapedencryptionstatement(ver)

保留：

python # 设置用户的密码并提交 passwordoption = getpasswordoption(ver) curexecute(SET PASSWORD FOR s = passwordoption (pendingdict[username] pendingdict[password])) conncommit() loggerinfo(setSecret Successfully set password for s in MySQL DB for secret arn s (pendingdict[username] arn))

重新压缩包含本地更改的文件夹。从轮换 Lambda 菜单的 代码 中，选择 上传 和选择 zip 文件。上传新的 zip 文件。

测试修改后的轮换策略

在下次安排的轮换时，将运行修改后的轮换代码。要立即测试此轮换策略，请在 Secrets 菜单中选择 轮换 选项卡，然后在 轮换配置 部分选择 立即轮换秘密。

要验证修改后的轮换策略是否有效，请在秘密和数据库中都验证登录详细信息。要验证 Secrets Manager 秘密，请选择 Secrets Manager 控制台中的 Secrets 菜单，并在 概述 选项卡下选择 检索秘密值。核实 username 中没有 clone 后缀，并且有一个新的 password。或者，使用 getsecretvalue 调用通过 AWS 命令行接口 (AWS CLI) 检查秘密的 username 和 password 详细信息。

要验证数据库中的登录详细信息，请使用管理凭证登录数据库。运行以下数据库命令以验证不存在具有 clone 后缀的用户：SELECT FROM mysqluser。确保使用适合您数据库引擎类型的命令。同时，使用秘密中的新登录凭证登录数据库，验证其是否有效。

清理资源

请遵循此 AWS 安全博客文章 中的 清理资源 部分。

结论

在本文中，您学习了如何使用修改后的交替用户轮换策略配置 Amazon RDS 数据库用户的轮换，以帮助满足更具体的安全和合规标准。该修改策略确保数据库用户无法自行轮换，并且在数据库中不会创建重复用户。

您可以通过 AWS Secrets Manager 控制台 和 Amazon RDS 控制台 开始实施此修改的轮换策略。要了解有关 Secrets Manager 的更多信息，请参阅 Secrets Manager 文档。

如果您对此文章有任何反馈，请在评论区提交评论。如果您对本文有任何问题，请在 AWS Secrets Manager rePost 开启新主题或 联系 AWS 支持。

想要获取更多 AWS 安全新闻吗？关注我们 Twitter。

作者：Adithya Solai

Adithya 是一名软件开发工程师，负责 AWS Secrets Manager 的核心后端功能开发。他毕业于马里兰大学帕克分校，获得计算机科学学士学位。他热衷于教育领域的社会工作，喜欢阅读、下棋以及听嘻哈和节奏布鲁斯音乐。

标签 Amazon RDS 安全 安全博客