IAM角色

Question

我正在尝试使用SSL连接与SQLAlchemy连接到Amazon Aurora，将IAM角色指定为数据库用户帐户并将身份验证令牌指定为密码，如[AWS docs]中所述（http://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.html#UsingWithRDS.IAMDBAuth.Connecting）

这是我遵循的步骤。

wget https://s3.amazonaws.com/rds-downloads/rds-combined-ca-bundle.pem

export LIBMYSQL_ENABLE_CLEARTEXT_PLUGIN=1

aws rds generate-db-auth-token --hostname 'datadbcluster-1.cluster-xxxxxxxxxxxx.us-west-2.rds.amazonaws.com' --port 3306 --username dt_analyst --region us-west-2 > /home/ubuntu/dt_analyst.pem

mysql -h datadbinstance2nd. xxxxxxxxxxxx.us-west-2.rds.amazonaws.com--ssl-ca /home/ubuntu/rds-combined-ca-bundle.pem -u dt_analyst --ssl-verify-server-cert --enable-cleartext-plugin -p'<token>'

我验证了我可以使用mysql客户端通过SSL连接。

但我想使用sqlalchemy而不是mysql客户端进行连接。以下代码是根据Internet上的十几条建议编译的，但只会产生以下错误。

'sqlalchemy.exc.OperationalError：（_ mysql_exceptions.OperationalError）（1045，“拒绝用户访问...”）'

我的代码如下。

import boto3

client = boto3.client('rds', region_name='us-west-2')

dialect='mysql'
user = ‘dt_analyst’
host = 'datadbcluster-1.cluster-xxxxxxxxxxxx.us-west-2.rds.amazonaws.com'
port = 3306
data = ‘datadb’
region='us-west-2'

token = client.generate_db_auth_token(host,port,user,region)
host1 = 'datadbinstance2nd. xxxxxxxxxxxx.us-west-2.rds.amazonaws.com'
conn_str = '%s://%s:%s@%s:%d/%s'%(dialect,user,token,host1,port,data)
conn_str += '?ssl_key=%s'%token
conn_str += '&ssl_cert=’/home/ubuntu/rds-combined-ca-bundle.pem'

ssl_args = {
    'ssl': {
        'ca_cert': '/home/ubuntu/rds-combined-ca-bundle.pem',
        'sslmode': 'require',
        'verify_ssl_cert': True
    }
}

engine = create_engine(conn_str,connect_args=ssl_args, echo=True)

Answer 1

我的回答有三点：

IAM角色

这里没有提到一个步骤：您需要分配一个IAM角色，该角色赋予您的客户端连接到RDS的权利。

“客户端”是指任何AWS资源正在运行此问题中的代码。可能是lambda函数，EC2实例或其他东西。不管它是什么，它都有一个ARN，并且必须允许它执行操作rds-db:connect。

URL引用连接字符串

然后RDS凭证可能存在问题。如果密码包含URL不允许的字符，则可能必须用URL引用密码。

Python 3：passwd = urllib.parse.quote(rds_password)
Python 2：passwd = urllib.quote(rds_password)

RDS临时凭据

最后，可能是您的RDS数据库需要临时凭证。此代码示例显示了如何获取这些内容：

# get RDS config, often done through environment variables
import os

rds_host = os.environ.get("RDS_HOST")  
rds_port = os.environ.get("RDS_PORT")
rds_username = os.environ.get("RDS_USER")   

# get temp credential
import boto3

temp_passwd = boto3.client('rds').generate_db_auth_token(
    DBHostname=rds_host,
    Port=rds_port,
    DBUsername=rds_username 
)

rds_credentials = {'user': rds_username, 'passwd': temp_passwd}

将其组合在一起：

def create_sqlalchemy_engine(self):
    conn_str = f"{protocol}://{rds_host}:{rds_port}/{database}"

    kw = dict()
    kw.update(rds_credentials)
    # kw.update({'ssl': {'ca': /path/to/pem-file.pem}})  # MySQL
    # kw.update({'sslmode': 'verify-full', 'sslrootcert /path/to/pem-file.pem})  # PostgreSQL

    return create_engine(conn_str, connect_args=kw)

我将用户参数和passwd参数从连接字符串移至connect_args。这消除了对URL引用的需要。

另请参阅：https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.IAMPolicy.html

使用SQLAlchemy连接到Amazon Aurora

1 个答案:

IAM角色

URL引用连接字符串

RDS临时凭据