如何在Terraform中使用secret manager创建Aurora无服务器数据库集群

Question

我一直在读这一页：https://registry.terraform.io/providers/hashicorp/aws/latest/docs/resources/rds_cluster

这里的示例主要针对已配置的数据库，我是无服务器数据库的新手，是否有使用存储在secret manager中的机密创建无服务器Aurora数据库集群（SQL db）的Terraform示例？

非常感谢。

Answer 1

接受的答案将仅使用预设密码创建Aurora RDS实例——但不包括Secrets Manager。使用Secrets Manager是个好主意，这样您的数据库和应用程序（Lambdas、EC2等）就可以从Secrets Manager访问密码，而无需将其复制/粘贴到多个位置（例如应用程序配置）。

此外，通过使用随机密码对密码进行地形化，它将以明文形式存储在您的地形中。tfstate文件，这可能是一个问题。要解决此问题，还需要启用Secrets Manager自动秘密轮换。

自动旋转是Terraform的一种高级配置。它包括：

• 部署Lambda，可访问RDS实例和机密
• 通过aws\u secretsmanager\u secret\u旋转资源配置旋转

AWS为许多常见的旋转场景提供现成的lambda。具体的Lambda将根据数据库引擎（MySQL、Postgres、SQL Server、Oracle等）以及您是否将使用正在旋转的相同凭据连接到数据库而有所不同。

例如，当秘密旋转时，过程如下所示：

• 调用旋转lambda，机密管理器将机密的名称作为参数传递

要使所有这些工作正常，您还需要考虑Lambda需要的权限——例如与RDS实例的网络连接和读取/写入机密的IAM权限。

如前所述，它有点高级，但会导致机密管理器成为密码的唯一持久位置。不过，一旦安装成功，您的应用程序就可以安全地从Secrets Manager中检索密码（最后一个提示——可以在应用程序中缓存密码，以减少Secrets Manager调用，但请确保在连接失败时刷新缓存，以便您的应用程序能够处理自动轮换）。

Answer 2

创建无服务极光的基本示例是：

resource "aws_rds_cluster" "default" {
  cluster_identifier      = "aurora-cluster-demo"
  engine                  = "aurora-mysql"  
  engine_mode             = "serverless"  
  database_name           = "myauroradb"  
  enable_http_endpoint    = true  
  master_username         = "root"
  master_password         = "chang333eme321"
  backup_retention_period = 1
  
  skip_final_snapshot     = true
  
  scaling_configuration {
    auto_pause               = true
    min_capacity             = 1    
    max_capacity             = 2
    seconds_until_auto_pause = 300
    timeout_action           = "ForceApplyCapacityChange"
  }  
}

我不知道你想对秘密经理做什么。你的问题并不清楚，所以我提供了一些例子。

Answer 3

我猜你想随机化master_password？你可以这样做：

master_password = random_password.DatabaseMasterPassword.result

SSM参数可以这样创建：

resource "aws_ssm_parameter" "SSMDatabaseMasterPassword" {
  name  = "database-master-password"
  type  = "SecureString"
  value = random_password.DatabaseMasterPassword.result
}

随机密码的定义如下：

resource "random_password" "DatabaseMasterPassword" {
  length           = 24
  special          = true
  override_special = "!#$%^*()-=+_?{}|"
}