开始使用 RDS 代理

在以下部分中，您可以了解如何设置和管理 RDS 代理。您还可以了解如何设置相关的安全选项。这些选项控制哪些人可以访问每个代理，以及每个代理如何连接到数据库实例。

设置网络先决条件

使用 RDS 代理需要您在 Aurora 数据库集群和 RDS 代理之间拥有通用的虚拟私有云（VPC）。此 VPC 应至少有两个位于不同可用区中的子网。您的账户可以拥有这些子网，或与其他账户共享它们。有关 VPC 共享的信息，请参阅使用共享 VPC。

您的客户端应用程序资源（例如 Amazon EC2、Lambda 或 Amazon ECS）可以与代理位于同一 VPC 中。它们也可以位于与代理不同的 VPC 中。如果已成功连接到任何 Aurora 数据库集群，则您已拥有所需的网络资源。

获取有关您的子网的信息

如果您刚刚开始使用 Aurora，您可以遵循为 Amazon Aurora 设置环境中的过程，了解连接到数据库的基础知识。您也可以按照 开始使用 Amazon Aurora 中的教程进行操作。

要创建代理，必须提供代理在其中运行的子网和 VPC。以下 Linux 示例展示了检查 Amazon Web Services 账户 拥有的 VPC 和子网的 Amazon CLI 命令。尤其是，在使用 CLI 创建代理时，您可以将子网 ID 作为参数传递。

aws ec2 describe-vpcs
aws ec2 describe-internet-gateways
aws ec2 describe-subnets --query '*[].[VpcId,SubnetId]' --output text | sort

以下 Linux 示例展示了用于确定与特定 Aurora 数据库集群对应的子网 ID 的 Amazon CLI 命令。

对于 Aurora 集群，首先，您可以找到其中一个关联数据库实例的 ID。您可以提取该数据库实例使用的子网 ID。为此，请在数据库实例的描述输出中检查 DBSubnetGroup 和 Subnets 属性中的嵌套字段。在为该数据库服务器设置代理时，您可以指定部分或全部这些子网 ID。

$ # Find the ID of any DB instance in the cluster.
$  aws rds describe-db-clusters --db-cluster-identifier my_cluster_id --query '*[].[DBClusterMembers]|[0]|[0][*].DBInstanceIdentifier' --output text

my_instance_id
instance_id_2
instance_id_3

找到数据库实例标识符后，检查关联的 VPC 以查找其子网。以下 Linux 示例展示了操作步骤。

$ #From the DB instance, trace through the DBSubnetGroup and Subnets to find the subnet IDs.
$ aws rds describe-db-instances --db-instance-identifier my_instance_id --query '*[].[DBSubnetGroup]|[0]|[0]|[Subnets]|[0]|[*].SubnetIdentifier' --output text

subnet_id_1
subnet_id_2
subnet_id_3
...

$ #From the DB instance, find the VPC.
$ aws rds describe-db-instances --db-instance-identifier my_instance_id --query '*[].[DBSubnetGroup]|[0]|[0].VpcId' --output text

my_vpc_id

$ aws ec2 describe-subnets --filters Name=vpc-id,Values=my_vpc_id --query '*[].[SubnetId]' --output text

subnet_id_1
subnet_id_2
subnet_id_3
subnet_id_4
subnet_id_5
subnet_id_6

计划 IP 地址容量

RDS 代理会根据向它注册的数据库实例的大小和数量，视需要自动调整其容量。某些操作可能还需要更多代理容量，例如增加注册数据库的大小或内部 RDS 代理维护操作。在这些操作期间，您的代理可能需要更多 IP 地址来预调配额外的容量。这些额外的地址使您的代理可以在不影响工作负载的情况下进行扩展。您的子网中缺少可用的 IP 地址会阻止代理纵向扩展。这可能导致查询延迟更长或客户端连接故障。当您的子网中没有足够的可用 IP 地址时，RDS 会通过事件 RDS-EVENT-0243 通知您。有关此事件的信息，请参阅 使用 RDS 代理事件。

以下是根据数据库实例类大小，建议在子网中为代理保留可用的最少 IP 地址数。

这些建议的 IP 地址数是针对仅具有默认端点的代理的估计数。具有更多端点或只读副本的代理可能需要更多可用的 IP 地址。对于每个其他端点，我们建议您另外预留三个 IP 地址。对于每个只读副本，我们建议您根据该只读副本的大小，保留表中指定的额外 IP 地址。

例如，假设您要估算与 Aurora 数据库集群关联的代理所需的 IP 地址数。

在这种情况下，假设如下：

在这种情况下，代理需要大约 63 个可用 IP 地址（写入器实例需要 45 个，读取器实例需要 15 个，附加的自定义端点需要 3 个）。

在 Amazon Secrets Manager 中设置数据库凭证

对于您创建的每个代理，首先使用 Secrets Manager 服务来存储用户名和密码凭证集。您可以在 Aurora 数据库集群上，为代理连接到的每个数据库用户账户分别创建 Secrets Manager 密钥。

在 Secrets Manager 控制台中，您可以使用 username 和 password 字段的值创建这些密钥。这样一来，代理就可以连接到与代理关联的 Aurora 数据库集群上的相应数据库用户。为此，您可以使用 Credentials for other database (其他数据库的凭证)、Credentials for RDS database (RDS 数据库凭证) 或 Other type of secrets (其他密钥类型) 设置。为用户名和密码字段填写相应的值，以及任何其它必填字段的值。代理会忽略其他存在于密钥中的字段，如主机和端口。这些详细信息由代理自动提供。

您也可以选择其他密钥类型。在这种情况下，您可以使用名为 username 和 password 的键创建密钥。

由于代理使用的密钥不与特定数据库服务器绑定，因此可跨代理重用一个密钥。为此，请在多个数据库服务器上使用相同的凭证。例如，您可以跨开发和测试服务器使用相同的凭证。

要以特定数据库用户身份通过代理进行连接，请确保与密钥关联的密码与该用户的数据库密码相匹配。如果不匹配，您可以在 Secrets Manager 中更新关联的密钥。在这种情况下，您仍然可以连接到密钥凭证和数据库密码确实匹配的其他账户。

通过 Amazon CLI 或 RDS API 创建代理时，请指定相应密钥的 Amazon 资源名称（ARN）。请为代理可以访问的所有数据库用户账户执行此操作。在 Amazon Web Services Management Console 中，根据描述性名称选择密钥。

有关在 Secrets Manager 中创建密钥的说明，请参阅 Secrets Manager 文档中的创建密钥页面。使用下面的方法之一：

例如，以下命令为两个数据库用户（一个名为 app-user，另一个名为 admin）创建 Secrets Manager 密钥。

aws secretsmanager create-secret \
  --name admin_secret_name --description "db admin user" \
  --secret-string '{"username":"admin","password":"choose_your_own_password"}'

aws secretsmanager create-secret \
  --name proxy_secret_name --description "application user" \
  --secret-string '{"username":"app-user","password":"choose_your_own_password"}'

要查看您的 Amazon 账户拥有的密钥，请使用以下命令。

aws secretsmanager list-secrets

使用 CLI 创建代理时，将一个或多个密钥的 Amazon Resource Name (ARN) 传递给了 --auth 参数。以下 Linux 示例展示了如何准备报告，其中仅包含 Amazon 账户所拥有的每个密钥的名称和 ARN。此示例使用了 --output table 版本 2 中提供的 Amazon CLI 参数。如果您使用的是 Amazon CLI 版本 1，请改用 --output text。

aws secretsmanager list-secrets --query '*[].[Name,ARN]' --output table

要验证是否在密钥中以正确的格式存储了正确的凭据，请使用以下命令。以密钥的短名称或 ARN 替换 your_secret_name。

aws secretsmanager get-secret-value --secret-id your_secret_name

输出应包括一行 JSON 编码值，如下所示。

"SecretString": "{\"username\":\"your_username\",\"password\":\"your_password\"}",

设置 Amazon Identity and Access Management (IAM) 策略

在 Secrets Manager 中创建密钥后，请创建一个可以访问这些密钥的 IAM 策略。有关使用 IAM 的一般信息，请参阅Amazon Aurora 的 Identity and Access Management。

以下命令通过 Amazon CLI 执行相同的操作。

PREFIX=my_identifier
USER_ARN=$(aws sts get-caller-identity --query "Arn" --output text) 

aws iam create-role --role-name my_role_name \
  --assume-role-policy-document '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Principal":{"Service":["rds.amazonaws.com"]},"Action":"sts:AssumeRole"}]}'

ROLE_ARN=arn:aws:iam::account_id:role/my_role_name

aws iam put-role-policy --role-name my_role_name \
  --policy-name $PREFIX-secret-reader-policy --policy-document '{"Version":"2012-10-17","Statement":[{"Sid":"getsecretvalue","Effect":"Allow","Action":["secretsmanager:GetSecretValue","kms:Decrypt"],"Resource":"*"}]}'

aws kms create-key --description "$PREFIX-test-key" --policy '{
  "Id":"$PREFIX-kms-policy",
  "Version":"2012-10-17",
  "Statement":
    [
      {
        "Sid":"Enable IAM User Permissions",
        "Effect":"Allow",
        "Principal":{"AWS":"arn:aws::iam:account_id:root"},
        "Action":"kms:*","Resource":"*"
      },
      {
        "Sid":"Allow access for Key Administrators",
        "Effect":"Allow",
        "Principal":
          {
            "AWS":
              ["$USER_ARN","arn:aws::iam:account_id:role/Admin"]
          },
        "Action":
          [
            "kms:Create*",
            "kms:Describe*",
            "kms:Enable*",
            "kms:List*",
            "kms:Put*",
            "kms:Update*",
            "kms:Revoke*",
            "kms:Disable*",
            "kms:Get*",
            "kms:Delete*",
            "kms:TagResource",
            "kms:UntagResource",
            "kms:ScheduleKeyDeletion",
            "kms:CancelKeyDeletion"
          ],
        "Resource":"*"
      },
      {
        "Sid":"Allow use of the key",
        "Effect":"Allow",
        "Principal":{"AWS":"$ROLE_ARN"},
        "Action":["kms:Decrypt","kms:DescribeKey"],
        "Resource":"*"
      }
    ]
}'

创建 RDS 代理

要管理数据库集群的连接，请创建代理。您可以将代理与 Aurora MySQL 或 Aurora PostgreSQL 数据库集群相关联。

aws rds create-db-proxy \
    --db-proxy-name proxy_name \
    --engine-family { MYSQL | POSTGRESQL | SQLSERVER } \
    --auth ProxyAuthenticationConfig_JSON_string \
    --role-arn iam_role \
    --vpc-subnet-ids space_separated_list \
    [--vpc-security-group-ids space_separated_list] \
    [--require-tls | --no-require-tls] \
    [--idle-client-timeout value] \
    [--debug-logging | --no-debug-logging] \
    [--tags comma_separated_list]

aws rds create-db-proxy ^
    --db-proxy-name proxy_name ^
    --engine-family { MYSQL | POSTGRESQL | SQLSERVER } ^
    --auth ProxyAuthenticationConfig_JSON_string ^
    --role-arn iam_role ^
    --vpc-subnet-ids space_separated_list ^
    [--vpc-security-group-ids space_separated_list] ^
    [--require-tls | --no-require-tls] ^
    [--idle-client-timeout value] ^
    [--debug-logging | --no-debug-logging] ^
    [--tags comma_separated_list]

[
  {
    "Description": "proxy description 1",
    "AuthScheme": "SECRETS",
    "SecretArn": "arn:aws:secretsmanager:us-west-2:123456789123:secret/1234abcd-12ab-34cd-56ef-1234567890ab",
    "IAMAuth": "DISABLED",
    "ClientPasswordAuthType": "POSTGRES_SCRAM_SHA_256"
  },
  
  {
    "Description": "proxy description 2",
    "AuthScheme": "SECRETS",
    "SecretArn": "arn:aws:secretsmanager:us-west-2:111122223333:seret/1234abcd-12ab-34cd-56ef-1234567890cd",
    "IAMAuth": "DISABLED",
    "ClientPasswordAuthType": "POSTGRES_MD5"
    
  },
  
  {
    "Description": "proxy description 3",
    "AuthScheme": "SECRETS",
    "SecretArn": "arn:aws:secretsmanager:us-west-2:111122221111:secret/1234abcd-12ab-34cd-56ef-1234567890ef",
    "IAMAuth": "REQUIRED"
  }
  
]

aws rds register-db-proxy-targets
    --db-proxy-name value
    [--target-group-name target_group_name]
    [--db-instance-identifiers space_separated_list]  # rds db instances, or
    [--db-cluster-identifiers cluster_id]        # rds db cluster (all instances)

查看 RDS 代理

创建一个或多个 RDS 代理后，您可以查看所有这些代理。这样，您就可以检查它们的配置详细信息，并选择要执行修改、删除等操作的配置。

为了使数据库应用程序使用代理，必须在连接字符串中提供代理端点。

aws rds describe-db-proxies [--db-proxy-name proxy_name]

aws rds describe-db-proxy-target-groups  --db-proxy-name proxy_name

aws rds describe-db-proxy-targets --db-proxy-name proxy_name

通过 RDS Proxy 连接到数据库

通过代理连接到 Aurora 数据库集群或使用 Aurora Serverless v2 的集群的方式通常与直接连接到数据库的方式相同。主要区别在于您指定代理端点而不是集群端点。默认情况下，所有代理连接都具有读/写功能，并使用写入器实例。如果您通常使用读取器端点进行只读连接，则可以为代理创建额外的只读端点。您可以通过相同的方式使用该端点。有关更多信息，请参阅代理终端节点概述。

使用本机身份验证连接到代理

执行以下步骤，使用本机身份验证连接到代理：

使用 IAM 身份验证连接到代理

在将 IAM 身份验证与RDS Proxy结合使用时，请将数据库用户设置为使用常规用户名和密码进行身份验证。IAM 身份验证适用于从 Secrets Manager 中检索用户名和密码凭证的RDS Proxy。从RDS 代理至底层数据库的连接不经由 IAM。

要使用 IAM 身份验证连接到 RDS 代理，请使用与对 Aurora 数据库集群使用 IAM 身份验证相同的常规连接过程。有关使用 IAM 的一般信息，请参阅Amazon Aurora 中的安全性。

RDS Proxy 在 IAM 用法方面的主要区别包括：

您可以通过修改 IAM 策略授予特定用户对代理的访问权限。下面是一个示例。

"Resource": "arn:aws:rds-db:us-east-2:1234567890:dbuser:prx-ABCDEFGHIJKL01234/db_user"

使用 PostgreSQL 连接到代理的注意事项

对于 PostgreSQL，当客户端启动到 PostgreSQL 数据库的连接时，它会发送一条启动消息。此消息包含参数名称/值字符串对。有关详细信息，请参阅 PostgreSQL 文档中的 PostgreSQL 消息格式中的 StartupMessage。

通过 RDS 代理进行连接时，启动消息可以包含以下当前识别的参数：

启动消息还可以包含以下其他运行时参数：

有关 PostgreSQL 消息收发的更多信息，请参阅 PostgreSQL 文档中的前端/后端协议。

对于 PostgreSQL，如果您使用 JDBC，我们建议您执行以下操作以避免固定：

有关更多信息，请参阅避免固定。有关使用 JDBC 进行连接的更多信息，请参阅 PostgreSQL 文档中的连接到数据库。