为 Amazon Secrets Manager 设置交替用户轮换

创建数据库用户

1. 在 MySQL Workbench 中，选择连接 SecretsManagerTutorial。

2. 在 Query（查询）窗口中，输入以下命令（包括强密码），然后选择 Execute（执行）。

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT ALL PRIVILEGES ON myDB . * TO 'appuser'@'%';

   在 Output（输出）窗口中，您会看到这些命令执行成功。

1. 在 https://console.aws.amazon.com/secretsmanager/ 打开 Secrets Manager 控制台

2. 选择 Store a new secret (存储新密钥)。

3. 在 Choose secret type（选择密钥类型）页面上，执行以下操作：

   1. 对于 Secret type（秘密类型），选择 Credentials for Amazon RDS database（Amazon RDS 数据库凭证）。

   2. 对于 Credentials（凭证），输入用户名 newuser，以及您为使用 MySQL Workbench 创建的数据库用户输入的密码。

   3. 对于 Database（数据库），选择 secretsmanagertutorialdb。

4. 在 Configure secret（配置密钥）页面上，对于 Secret name（密钥名称），输入 SecretsManagerTutorialAppuser，然后选择 Next（下一步）。

5. 在 Configure rotation（配置轮换）页面上，执行以下操作：

   1. 启用 Automatic rotation（自动轮换）。

   2. 对于 Rotation schedule（轮换计划），设置计划 Days（天数）：2 天，以及 Duration（持续时间）：2h。使 Rotate immediately（立即轮换）处于已选择状态。

   3. 对于 Rotation function（轮换函数），选择 Create a rotation function（创建轮换函数），然后对于函数名称，输入 tutorial-alternating-users-rotation。

   4. 对于 Use separate credentials（使用单独的凭证），选择 Yes（是），然后在 Secrets（秘密）下，选择 SecretsManagerTutorialAdmin-a1b2c3d4e5f6。

   5. 选择 Next（下一步）。

6. 在 Review（检查）页面上，选择 Store（存储）。

   Secrets Manager 将返回到秘密详细信息页面。您可以在该页面顶部查看轮换配置状态。

   Secrets Manager 使用 CloudFormation 创建资源，如 Lambda 轮换函数和运行 Lambda 函数的执行角色。当 CloudFormation 完成后，横幅将更改为 Secret scheduled for rotation（秘密已计划轮换）。第一次轮换已完成。

从秘密中检索新密码

1. 在 https://console.aws.amazon.com/secretsmanager/ 打开 Secrets Manager 控制台

2. 选择 Secrets（秘密），然后选择秘密 SecretsManagerTutorialAppuser。

3. 在 Secret details（秘密详细信息）页面上，向下滚动并选择 Retrieve secret value（检索秘密值）。

4. 在 Key/value（键/值）表中，为 password 复制 Secret value（秘密值）。

测试凭证

1. 在 MySQL Workbench 中，右键单击连接 SecretsManagerTutorial，然后选择 Edit Connection（编辑连接）。

2. 在 Manage Server Connections（管理服务器连接）对话框中，对于 Username（用户名），输入 appuser，然后选择 Close（关闭）。

3. 返回 MySQL 工作台，选择连接 SecretsManagerTutorial。

4. 在 Open SSH Connection（打开 SSH 连接）对话框中，对于 Password（密码），粘贴您从秘密中检索到的密码，然后选择 OK（确定）。

   如果凭证有效，则 MySQL Workbench 将打开至数据库的设计页面。