使用Terraform创建具有功能（IAM身份验证，旋转主密码）的RDS（Amazon Aurora PostgreSQL）

Question

我被赋予一项工作，使用Terraform创建RDS集群模块，该模块将允许消费者提升自己的集群/数据库等。这很简单，但这是第二个要求我把头发拉出来。 DBA想知道如何执行以下操作：

1. 在机密管理器中存储和旋转主密码。
2. 通过自动化（无需任何操作）创建其他数据库，用户等。
3. 利用IAM身份验证，从而不必创建/验证用户。

我已经看过许多不同的方法来做这件事，因为我对此还很陌生，所以似乎没有什么可以作为“最佳解决方案”。谁能给我一个简短的清单，说明他们可能是如何完成类似任务的？您是使用lambda函数存储和旋转密码的，还是您将主用户分配给了IAM角色？您是在使用TF postgres提供程序来创建角色还是在编写自己的代码以实现自动化？

我非常感谢任何指导。 谢谢堆

Answer 1

所描述的问题是相当普遍的，但我认为您可以将几乎所有内容都置于terraform的直接控制之下。

1. 在机密管理器中存储和旋转主密码。

秘密经理是必经之路。但是，密码轮换将是一个问题。在AWS控制台中启用旋转后，AWS会为您神奇地配置一个lambda。如果您不使用控制台，则command line steps会涉及更多内容，因为它们需要使用aws无服务器回购（SAR）。可悲的是，对SAR的官方支持是not yet avaiable。因此，您必须像使用SAR的链接文档中一样，使用local-exec预配器运行aws cli来创建旋转lambda。

1. 通过自动化（无需任何操作）创建其他数据库，用户等。

您已经指出，TF PostgreSQL Provider是首先要考虑的问题。

1. 利用IAM身份验证，无需创建/验证用户。

可以使用iam_database_authentication_enabled启用此功能。但是您应该知道使用IAM身份验证时会有一些limitations。最值得注意的是，仅支持PostgreSQL 9.6.9和10.4或更高版本，并且每秒的连接数会受到影响。

Answer 2

针对将来希望做类似事情的任何人进行第1点的后续操作。

我最终使用cloudformation_stack terraform资源来创建秘密附件和秘密旋转-将它们的参数值从我的terraform资源中传递给他们。

当terraform引入这些资源时，可以完美，轻松地切换工作。