使用 Amazon RDS Proxy 管理连接

• 对于 Amazon RDS MySQL 和 Aurora MySQL，在运行 mysql 命令时使用 --ssl-mode 参数在客户端上指定此要求。

• 对于 Amazon RDS PostgreSQL 和 Aurora PostgreSQL，在运行 psql 命令时将 sslmode=require 指定为 conninfo 字符串的一部分。

• 故障转移时的域名系统 (DNS) 传播延迟。

• 本地 DNS 缓存。

• 连接超时。

• 不确定哪个数据库实例是当前的写入器。

• 等待来自以前写入器的查询响应，该写入器在未关闭连接的情况下变得不可用。

• 启用 RDS MySQL 或 Aurora MySQL autocommit 设置后，每个单独的语句之后都会发生连接重用。

• 相反，禁用 autocommit 设置后，您在会话中发出的第一个语句会启动新的事务。因此，如果您输入 SELECT、INSERT、UPDATE 和其他数据操作语言 (DML) 语句的序列，则在您发出 COMMIT、ROLLBACK 或以其他方式结束事务之前不会发生连接重用。

• 输入数据定义语言 (DDL) 语句会导致事务在该语句完成后结束。

• RDS Proxy 仅在下面的 AWS 区域中可用：

  • 美国东部（弗吉尼亚北部）地区

  • 美国东部（俄亥俄）区域

  • 美国西部（加利福利亚北部）区域

  • 美国西部（俄勒冈）区域

  • 亚太地区（孟买）区域

  • 亚太区域（首尔）

  • 亚太区域（新加坡）

  • 亚太区域（悉尼）

  • 亚太区域（东京）

  • 加拿大 (中部) 区域

  • 欧洲（法兰克福）区域

  • 欧洲（爱尔兰）区域

  • 欧洲（伦敦）区域

• 每个 AWS 账户 ID 最多可拥有 20 个代理。如果您的应用程序需要更多代理，您可以通过向 AWS Support 组织开立票证来请求其他代理。

• 每个代理最多可拥有 200 个关联的 Secrets Manager 密钥。因此，每个代理可以在任何给定时间连接多达 200 个不同的用户账户。

• 在 Aurora 集群中，连接池中的所有连接都由 Aurora 写入器实例处理。要对读取密集型工作负载执行负载均衡，仍然需要直接对 Aurora 集群使用读取器终端节点。

  对于复制配置中的 RDS 数据库实例，要做同样的考虑。您只能将代理与写入器数据库实例关联，而不能与只读副本关联。

• 不能将 RDS Proxy 与 Aurora Serverless 集群一起使用。

• 不能将 RDS Proxy 与属于 Aurora 全局数据库一部分的 Aurora 集群一起使用。

• 您的 RDS Proxy 必须与数据库位于同一 VPC 中。代理无法公开访问，但数据库可以。

• 不能将 RDS Proxy 与具有专用租赁的 VPC 一起使用。

• 不能将 RDS Proxy 与自定义 DNS 一起使用。

• RDS Proxy 可用于 MySQL 和 PostgreSQL 引擎系列。

• 每个代理都可以与单个目标数据库实例或集群相关联。不过，您可以将多个代理与同一个数据库实例或集群关联。

• MySQL 引擎系列包括 RDS MySQL 5.6 和 5.7 以及 Aurora MySQL 版本 1 和 2。

• 目前，所有代理均在端口 3306 上侦听 MySQL。代理仍使用您在数据库设置中指定的端口连接到您的数据库。

• 不能将 RDS Proxy 与 RDS MySQL 8.0 一起使用。

• 不能将 RDS Proxy 与 EC2 实例中自行管理的 MySQL 数据库一起使用。

• 代理不支持 MySQL 压缩模式。例如，它们不支持 mysql 命令的 --compress 或 -C 选项使用的压缩。

• 某些 SQL 语句和函数可以更改连接状态而不会引起固定。有关最新的固定行为，请参阅 避免固定。

• 与 PostgreSQL 兼容的 Aurora 引擎系列包括版本 10.11 和 11.5。

• 目前，所有代理均在端口 5432 上侦听 PostgreSQL。

• PostgreSQL 不支持查询取消。

• PostgreSQL 函数 lastval() 的结果并不总是准确的。作为解决方法，请将 INSERT 语句与 RETURNING 子句一起使用。

• RDS Proxy 高度可用，部署在多个可用区 (AZ) 上。要确保数据库的总体高可用性，请在多可用区配置中部署 Amazon RDS 数据库实例或 Aurora 集群。

• 任何出现“连接过多”错误的数据库实例或集群都很适合与代理相关联。代理允许应用程序打开许多客户端连接，而代理管理与数据库实例或集群的少量长期连接。

• 对于使用较小 AWS 实例类（如 T2 或 T3）的数据库实例或集群，使用代理可以帮助避免内存不足情况。它还可以帮助减少建立连接时的 CPU 开销。处理大量连接时可能会发生这些情况。

• 您可以监控某些 Amazon CloudWatch 指标，以确定数据库实例或集群是否接近某些类型的限制。这些限制针对连接数以及与连接管理关联的内存。您还可以监控某些 CloudWatch 指标，以确定数据库实例或集群是否处理许多短期连接。打开和关闭此类连接可能会给数据库带来性能开销。有关要监控的指标的信息，请参阅 使用 Amazon CloudWatch 监控 RDS Proxy。

• AWS Lambda 函数也可以很好地使用代理。这些函数进行频繁的短数据库连接，可受益于 RDS Proxy 提供的连接池。您可以利用已为 Lambda 函数提供的任何 IAM 身份验证，而不是在 Lambda 应用程序代码中管理数据库凭证。

• 使用 PHP 和 Ruby on Rails 等语言和框架的应用程序通常可以很好地使用代理。此类应用程序通常打开和关闭大量数据库连接，并且没有内置的连接池机制。

• 长时间保持大量连接打开的应用程序通常可以很好地使用代理。诸如软件即服务 (SaaS) 或电子商务等行业中的应用程序通常会使连接保持打开状态，从而最大限度地减少数据库请求的延迟。通过使用 RDS Proxy，与直接连接到数据库实例或集群时相比，应用程序可以保持更多的连接为打开状态。

• 由于为所有数据库实例和集群设置此类身份验证较为复杂，您可能尚未采用 IAM 身份验证和 Secrets Manager。如果是这样，您可以保留现有的身份验证方法，并将身份验证委派给代理。代理可以为特定应用程序的客户端连接强制执行身份验证策略。您可以利用已为 Lambda 函数提供的任何 IAM 身份验证，而不是在 Lambda 应用程序代码中管理数据库凭证。

• 使用控制台中的 Secrets Manager。

• 要使用 CLI 创建与RDS Proxy 一起使用的 Secrets Manager 密钥，请使用类似如下的命令。

  aws secretsmanager create-secret
  --name "secret_name"
  --description "secret_description"
  --region region_name
  --secret-string '{"username":"db_user","password":"db_user_password"}'

• 指定代理终端节点，而不是实例、集群或读取器终端节点。有关代理终端节点的详细信息，请参阅使用 IAM 身份验证连接到数据库集群。

• 在直接数据库 IAM 身份验证情况下，您可以有选择地选取数据库用户并将其配置为使用特殊身份验证插件进行标识。然后，您可以使用 IAM 身份验证连接到这些用户。

  在代理使用案例中，您需要为代理提供包含某些用户的用户名和密码（本机身份验证）的密钥。然后，您可以使用 IAM 身份验证（通过使用代理终端节点而不是数据库终端节点生成身份验证令牌）并使用与之前所提供密钥的用户名之一匹配的用户名，连接到代理。

• 您不会使用授权插件配置每个单独的数据库用户。数据库用户在数据库中仍有常规的用户名和密码。您可以设置包含这些用户名和密码的 Secrets Manager 密钥，并授权 RDS Proxy 从 Secrets Manager 中检索凭证。

• IAM 身份验证应用于您的客户端程序与代理之间的连接。然后，代理使用从 Secrets Manager 中检索的用户名和密码凭证对数据库进行身份验证。当您将 IAM 用于与代理的连接时，请确保底层 RDS 数据库实例或 Aurora 数据库集群未启用 IAM。

• 当使用 IAM 身份验证连接到代理时，确保您使用传输层安全性 (TLS)/安全套接字层 (SSL)。

• user

• database

• replication

• application_name

• client_encoding

• DateStyle

• TimeZone

• extra_float_digits

• 将 JDBC 连接参数 assumeMinServerVersion 至少设置为 9.0 以避免固定。这样做会阻止 JDBC 驱动程序在运行 SET extra_float_digits = 3 时，在连接启动期间执行额外的往返行程。

• 将 JDBC 连接参数 ApplicationName 设置为 any/your-application-name 以避免固定。这样做会阻止 JDBC 驱动程序在运行 SET application_name = ”PostgreSQL JDBC Driver“ 时，在连接启动期间执行额外的往返行程。请注意，JDBC 参数为 ApplicationName，但 PostgreSQL StartupMessage 参数为 application_name。

• 将 JDBC 连接参数 preferQueryMode 设置为 extendedForPrepared 以避免固定。extendedForPrepared 可以确保扩展模式仅用于预编译语句。

  preferQueryMode 参数的默认值为 extended，它对所有查询都使用扩展模式。扩展模式使用一系列的 Prepare、Bind、Execute 和 Sync 请求以及相应的响应。这种系列类型会导致 RDS 代理中的连接固定。

• 使用 在 AWS Secrets Manager 中设置数据库凭证 中描述的过程创建新 Secrets Manager 密钥。

• 更新 IAM 角色以授予 RDS Proxy 对新 Secrets Manager 密钥的访问权限。为此，请更新 IAM 角色策略的资源部分。

• 如果新用户取代了现有用户，请更新存储在代理的 Secrets Manager 密钥中的现有用户的凭证。

• 避免可能导致固定的不必要的数据库请求。

• 在所有连接中一致地设置变量和配置设置。这样，后续会话更有可能重用具有这些特定设置的连接。

  但是，对于 PostgreSQL 设置，变量会导致会话固定。

• 将会话固定筛选条件应用于代理。您可以免除某些类型的操作，使其不固定会话（如果您知道这样做不会影响应用程序的正确操作）。

• 通过监控 CloudWatch 指标 DatabaseConnectionsCurrentlySessionPinned 来查看固定的发生频率。有关该指标和其他 CloudWatch 指标的信息，请参阅 使用 Amazon CloudWatch 监控 RDS Proxy。

• 如果您使用 SET 语句为每个客户端连接执行相同的初始化，则可以在保留事务级别多路复用的同时执行此操作。在这种情况下，您将设置初始会话状态的语句移动到由代理使用的初始化查询中。该属性是一个字符串，包含一个或多个 SQL 语句（用分号分隔）。

  例如，您可以为设置特定配置参数的代理定义初始化查询。然后，每当为该代理设置新连接时，RDS Proxy 都会应用这些设置。您可以从应用程序代码中删除相应的 SET 语句，这样，它们就不会干扰事务级别多路复用。

  重要

  对于与 MySQL 数据库关联的代理，请勿在初始化查询中将配置参数 sql_auto_is_null 设置为 true 或非零值。否则，可能会导致不正确的应用程序行为。

• 文本大小大于 16 KB 的任何语句都会导致代理固定会话。

• 预编译语句会导致代理固定会话。无论预编译语句使用 SQL 文本还是二进制协议，这项规则都适用。

• 显式 MySQL 语句 LOCK TABLE、LOCK TABLES 或 FLUSH TABLES WITH READ LOCK 会导致代理固定会话。

• 设置用户变量或系统变量（有些例外）会导致代理固定会话。如果这种情况过多地减少了连接重用，您可以选择让 SET 操作不导致固定。有关如何通过设置 SessionPinningFilters 属性来执行此操作的信息，请参阅创建 RDS Proxy。

• 创建临时表会导致代理固定会话。这样，无论事务边界如何，临时表的内容都会在整个会话期间保留。

• 调用 MySQL 函数 ROW_COUNT、FOUND_ROWS 和 LAST_INSERT_ID 有时会导致固定。

  这些函数导致固定的确切情况在与 MySQL 5.6 和 MySQL 5.7 兼容的 Aurora MySQL 版本之间可能有所不同。

• 使用 SET 命令

• 使用扩展查询协议，例如使用 JDBC 默认设置

• 创建临时序列、表或视图

• 声明游标

• 丢弃会话状态

• 监听通知频道

• 加载库模块，如 auto_explain

• 使用函数操作序列，例如 nextval() 和 setval()

• 使用函数与锁定交互，例如 pg_advisory_lock() 和 pg_try_advisory_lock()

• 使用预编译语句，设置参数或将参数重置为其默认值

示例

• 跨故障转移保留与 MySQL 数据库的连接

• 调整 Aurora 数据库集群的 max_connections 设置

• State 值 AVAILABLE 表示代理可以连接到数据库实例。

• State 值 UNAVAILABLE 表示存在临时或永久的连接问题。在这种情况下，请检查 Reason 和 Description 字段。例如，如果 Reason 的值为 PENDING_PROXY_CAPACITY，请在代理完成其扩展操作后，重试连接。如果 Reason 的值为 UNREACHABLE、CONNECTION_FAILED 或 AUTH_FAILURE，请使用 Description 字段中的说明来帮助您诊断问题。

• 在更改为 AVAILABLE 或 UNAVAILABLE 之前，State 字段的值可能在短时间内为 REGISTERING。