上一篇 [Lambda 接入 VPC 后访问 AWS 服务的出口链路](https://cipherhub.cloud/posts/aws-lambda-vpc-endpoint-access/) 解决了 Lambda 访问 AWS 服务时的 IPv4 出口问题，Lambda 要访问 Aurora 时，还要分别处理*网络可达性、数据库连接数量和应用身份*这三个问题，网络由 VPC、子网路由和安全组决定，连接数量由 RDS Proxy 处理，应用是否持有数据库静态密码则由 [IAM Database Authentication](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.html) 决定。

## 结论

[RDS Proxy](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/rds-proxy.html) 和 IAM Database Authentication 不是两条互斥的接入路径：
- RDS Proxy 在客户端和数据库之间复用后端连接，重点是限制数据库实际承担的连接数量
- IAM Database Authentication 用短期 token 替换应用侧的数据库静态密码，重点是控制谁可以以哪个数据库用户建连

本次实测使用的是标准 IAM 模式，实线是本次验证的链路，虚线是不用 Proxy 时的直连对照路径：

```mermaid
flowchart LR
    lambda[Lambda 执行角色] -->|IAM token 加 TLS| proxy[RDS Proxy]
    proxy -->|Secrets Manager 密码| database[Aurora]
    lambda -.直连 RDS 使用 IAM token.-> database
```
Lambda 经 Proxy 连接时不读取后端数据库密码，也不需要 `secretsmanager:GetSecretValue`；Proxy 使用自身的 IAM 角色读取 Secrets Manager 中的凭据，再用该凭据连接 Aurora 并维护连接池。

## 两项能力分别解决什么问题

### IAM Database Authentication

Lambda 使用执行角色生成的 IAM token 作为数据库连接的 password 字段，而不是把数据库密码放进环境变量或代码包。

token 的有效期默认是 15 分钟，但它只用于建立连接，已经建立的数据库会话不会因 token 到期而中断；AWS SDK 在本地使用当前 AWS 凭据完成 SigV4 签名生成 token，生成动作本身不向 RDS、Proxy 或 STS 发起请求；生成 token 不代表已获得数据库访问权限，Proxy 或数据库会在建连时校验 `rds-db:connect` 授权、目标资源和数据库用户名。

### RDS Proxy

Lambda 并发增加时，如果每个执行环境都直接新建数据库连接，数据库会同时处理更多 TCP、TLS 和数据库认证会话；RDS Proxy 将大量客户端连接汇聚到连接池，并复用较少的后端数据库连接；当池中没有可用连接时，Proxy 会排队、限流或拒绝部分客户端连接，从而避免瞬时并发直接压满 Aurora 的 `max_connections`。

会话状态、临时表、预处理语句、超过 16 KB 的 SQL 等操作可能触发 [session pinning](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/rds-proxy-pinning.html)，被绑定的客户端连接会持续独占一条数据库连接直到客户端断开。

## Proxy 到数据库使用什么凭据

前文的 IAM token 只用于 Lambda 向 Proxy 证明身份，它不会被 Proxy 原样转发给 Aurora，Proxy 接受 Lambda 的 IAM token 后，还需要自己向 Aurora 建立后端数据库连接，这个后端连接使用密码还是 IAM，就是标准 IAM 和端到端 IAM 的区别。

### 本文验证的路径

本文使用的是客户端 IAM、后端密码的标准 IAM 模式。

Lambda 用 IAM token 和 TLS 连接 Proxy，Proxy 再从 Secrets Manager 读取数据库用户名和密码连接 Aurora。

```mermaid
flowchart LR
    lambda[Lambda] -->|IAM token 加 TLS| proxy[RDS Proxy]
    proxy -->|Secret 中的用户名和密码| database[Aurora]
```

因此，Lambda 不持有数据库静态密码，但 Secrets Manager secret 仍然存在，因为它由 Proxy 使用而不是由 Lambda 使用。

### 另一条路径

端到端 IAM 模式把 Proxy 到 Aurora 这一段也改成 IAM Database Authentication。

```mermaid
flowchart LR
    lambda[Lambda] -->|IAM token 加 TLS| proxy[RDS Proxy]
    proxy -->|IAM Database Authentication| database[Aurora]
```

端到端中的端，指的是 Lambda 到 Proxy 与 Proxy 到 Aurora 两段连接都使用 IAM 认证，不是 Lambda 绕过 Proxy 直连 Aurora，也不是同一个 token 被透传到 Aurora。

|      模式      | Lambda 到 Proxy  |       Proxy 到 Aurora        | 是否需要数据库密码 Secret |
| :----------: | :-------------: | :-------------------------: | :--------------: |
| 本文的标准 IAM 模式 | IAM token 加 TLS |  Secrets Manager 中的用户名和密码   |        需要        |
|  端到端 IAM 模式  | IAM token 加 TLS | IAM Database Authentication |       不需要        |

端到端 IAM 需要 Aurora 启用 IAM Database Authentication、数据库用户配置 IAM 认证，以及 Proxy 自身角色拥有指向该数据库用户的 `rds-db:connect` 权限。

## 配置本文的标准 IAM 模式

### 先保证 Lambda 能访问 Proxy

RDS Proxy 必须与目标 Aurora 位于同一个 VPC，Lambda 必须能通过所选子网和安全组访问 Proxy endpoint 的数据库端口，Aurora 的安全组只需要放行来自 Proxy 安全组的数据库端口，Lambda 不应绕过 Proxy 直接连到 Aurora。

这条路径可以概括为：

```mermaid
flowchart LR
    lambda[Lambda] -->|TCP 3306| proxy_sg[Proxy 安全组]
    proxy_sg --> proxy[RDS Proxy]
    proxy -->|TCP 3306| database_sg[Aurora 安全组]
    database_sg --> database[Aurora]
```

如果 Lambda 和 Proxy 之间没有路由或安全组放行，错误会发生在 TCP 建连阶段，与 token 和 IAM policy 无关。

### 为 Proxy 配置后端凭据

创建 Proxy 时选择 IAM Authentication，指定允许客户端通过 IAM 认证的数据库账号，再关联 Aurora 后端账号对应的 Secrets Manager secret。

![创建 Proxy 时设置 IAM 客户端认证账号并关联后端 Secret](https://developer.qcloudimg.com/http-save/yehe-1371154/0d034712bd6043fb9fe76d589541a215.png)

这个 secret 是 Proxy 到 Aurora 的后端凭据，不是 Lambda 需要下载的应用凭据。

创建过程中 AWS 会为 Proxy 准备读取该 secret 所需的 IAM 角色和策略。

![创建 Proxy 时提示将创建后端 Secret 访问策略](https://developer.qcloudimg.com/http-save/yehe-1371154/bbc8d13f8794817c626a14f203ed5c03.png)

如果 secret 使用客户管理 KMS 密钥，Proxy 角色还必须拥有针对该密钥的 `kms:Decrypt` 权限。

### 强制客户端使用 IAM 和 TLS

将 Proxy 的客户端 IAM authentication 设为 `Required` 后，Proxy 只接受 IAM 认证的客户端连接，不再接受客户端直接提供数据库密码。

![RDS Proxy 客户端 IAM authentication 设为 Required](https://developer.qcloudimg.com/http-save/yehe-1371154/b41a21fd4dead71c050b67333d4bcdc2.png)

[通过 RDS Proxy 使用 IAM Authentication](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/rds-proxy-connecting.html) 时，客户端必须启用 TLS 并校验证书，TLS 在这里不是性能或合规选项，而是保护建连阶段短期 token 的必要条件。

### 给 Lambda 执行角色最小连接权限

Lambda 执行角色需要 `rds-db:connect`，Resource 使用 Proxy 的 resource ID 和数据库用户名，这个 Resource 不是 Proxy ARN，也不是 Aurora 的 resource ID。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "rds-db:connect",
      "Resource": "arn:aws:rds-db:<region>:<account-id>:dbuser:prx-<proxy-resource-id>/<db-user>"
    }
  ]
}
```

其中 `prx-<proxy-resource-id>` 必须取自当前 Proxy 的 resource ID，`<db-user>` 必须与 token 中使用的数据库用户名一致：`arn:aws:rds-db:ap-northeast-1:353472442111:dbuser:prx-0ee072c3c6591f379/admin`

## Lambda 连接代码

```python
import json
import os
import ssl
import boto3
import pymysql

PROXY_ENDPOINT: str = os.environ["PROXY_ENDPOINT"]  # Proxy 端点
DB_USER: str = os.environ["DB_USER"]                # = Proxy 关联 secret 里的 username
DB_PORT: int = int(os.environ.get("DB_PORT", "3306"))
REGION: str = os.environ["AWS_REGION"]              # Lambda runtime 自动注入

def lambda_handler(event: dict, context) -> dict:
    try:
        token: str = boto3.client("rds", region_name=REGION).generate_db_auth_token(
            DBHostname=PROXY_ENDPOINT, Port=DB_PORT, DBUsername=DB_USER, Region=REGION,
        )
        conn = pymysql.connect(
            host=PROXY_ENDPOINT, user=DB_USER, password=token,
            port=DB_PORT, ssl=ssl.create_default_context(), connect_timeout=10,
        )
        with conn.cursor() as cur:
            cur.execute("SELECT CURRENT_USER()")
            current_user: str = cur.fetchone()[0]
        conn.close()
        return {"statusCode": 200, "body": json.dumps({"current_user": current_user})}
    except Exception as e:
        return {"statusCode": 500, "body": json.dumps({"error": str(e)})}
```

## 排错过程

### 网络超时先检查拓扑

第一次测试时，Lambda 位于 `ap-northeast-1`，Proxy 位于 `us-east-1`，两个 VPC 之间没有配置跨区域网络连接，函数在默认 3 秒 timeout 内结束，说明 TCP 连接尚未建立，问题首先出在网络拓扑而不是 IAM policy。

修正方式是让 Lambda、Proxy 和 Aurora 使用同一区域且可达的 VPC 网络，或专门设计并验证跨区域的网络连接、路由和安全组规则，生成 token 时的 region 也必须与 Proxy endpoint 所在区域一致，但不要把完整 token 打到日志中排查。

### 握手错误不能直接等同于 SQL 错误

网络调整后，PyMySQL 返回 `Lost connection to MySQL server during query`，错误码为 `2013`，这个错误字符串覆盖了连接和协议协商阶段的多种失败情况，不能据此断言 SQL 已经执行或 TLS 已经成功建立。

此时应该依次检查 Proxy endpoint、TLS CA 证书、证书身份校验、数据库用户名和 MySQL 认证插件配置。

### Access denied 要核对当前 Proxy resource ID

随后出现 `Access denied for user admin using password NO`，错误码为 `1045`。

在这次标准 IAM 配置中，token 已作为 password 字段传给驱动，但 Proxy 的 MySQL 错误仍使用了 `using password NO` 这个通用文案，因此不能仅凭这段文字判断 Lambda 没有发送 token，更不能把它当作所有 IAM Auth 失败的固定解释。

本次真正的根因是 Proxy 在迁移时被重建，执行角色策略仍引用旧 Proxy 的 `prx-...` resource ID，并且最初错误地把 Proxy ARN 写进了 `rds-db:connect` 的 Resource。

将策略改为当前 Proxy 的 `arn:aws:rds-db:...:dbuser:prx-.../<db-user>` 格式后，Lambda 成功经 Proxy 连接 Aurora。

![Lambda 使用 IAM token 经 RDS Proxy 连接成功并返回 current user](https://developer.qcloudimg.com/http-save/yehe-1371154/102317eec938b4f89d75381dcccac21a.png)

|       现象       |                      优先检查                      |             本次结论             |
| :------------: | :--------------------------------------------: | :--------------------------: |
| Lambda timeout |         VPC 路由、安全组、Proxy endpoint 所在区域         |   Lambda 和 Proxy 没有可达网络路径    |
| MySQL 错误码 2013 |           endpoint、TLS CA、证书校验、认证插件            |        不能仅凭错误文本判断失败阶段        |
| MySQL 错误码 1045 | `rds-db:connect` 的 region、`prx-...` ID 和数据库用户名 | 策略仍指向旧 Proxy 且 Resource 格式错误 |

## 相关文章

- [Lambda 访问 VPC 内的 Aurora 的配置步骤](https://cipherhub.cloud/posts/aws-lambda-vpc-networking-access/)
- [Lambda 接入 VPC 后访问 AWS 服务的出口链路](https://cipherhub.cloud/posts/aws-lambda-vpc-endpoint-access/)
- [Secrets Manager 凭据轮转的机制剖析](https://cipherhub.cloud/posts/why-lambda-secretsmanager-rotation/)

## 参考链接

- [Amazon RDS Proxy](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/rds-proxy.html)
- [Connecting to a database through RDS Proxy](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/rds-proxy-connecting.html)
- [IAM database authentication for RDS](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.html)
- [Connecting to RDS with IAM authentication and Boto3](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.IAMDBAuth.Connecting.Python.html)
- [Avoiding pinning an RDS Proxy](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/rds-proxy-pinning.html)


上一篇 Lambda 接入 VPC 后访问 AWS 服务的出口链路 解决了 Lambda 访问 AWS 服务时的 IPv4 出口问题，Lambda 要访问 Aurora 时，还要分别处理网络可达性、数据库连接数量和应用身份这三个问题，网络由 VPC、子网路由和安全组决定，连接数量由 RDS Proxy 处理，应用是否持有数据库静态密码则由 IAM Database Authentication 决定。

Lambda 访问 RDS 时的 RDS Proxy 与 IAM Auth

Lambda 要访问 Aurora 时，还要分别处理网络可达性、数据库连接数量和应用身份这三个问题

高级开发工程师

云计算

数据库

Lambda经RDS Proxy访问Aurora时，用IAM token加TLS向Proxy证明身份，Proxy再通过Secrets Manager凭据连接数据库。标准IAM模式中Lambda不持有静态密码，但Secret仍由Proxy使用。需确保网络可达、Proxy安全组放行、执行角色rds-db:connect指向当前Proxy的resourceID。排错时优先检查VPC路由、证书校验和策略格式。

代码解释

凭据轮转

路由

MySQL

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Lambda经RDS Proxy访问Aurora时，用IAM token加TLS向Proxy证明身份，Proxy再通过Secrets Manager凭据连接数据库。标准IAM模式中Lambda不持有静态密码，但Secret仍由Proxy使用。需确保网络可达、Proxy安全组放行、执行角色rds-db:connect指向...

Lambda 访问 RDS 时的 RDS Proxy 与 IAM Auth-腾讯云开发者社区-腾讯云

Lambda 访问 RDS 时的 RDS Proxy 与 IAM Auth

Lambda 访问 RDS 时的 RDS Proxy 与 IAM Auth

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐