无需密码，安全访问 Postgres 数据库：ECS 容器与 IAM 角色

python

2024-03-17 16:12:52

通过 ECS 容器安全地访问 Postgres 数据库

使用 IAM 角色绕过密码验证

在现代软件开发中，数据库安全性至关重要。连接到数据库时，我们希望使用既安全又方便的方法。本文将介绍如何使用 IAM（身份和访问管理）角色，让 ECS（弹性容器服务）容器在没有明确密码的情况下访问 Postgres 数据库。

ECS 和 Postgres 简介

ECS (Elastic Container Service) 是 AWS 提供的容器编排服务，可以轻松部署、管理和扩展容器化应用程序。Postgres 是一个流行的关系型数据库，广泛用于各种应用程序。

配置 IAM 角色

IAM 角色是 AWS 提供的，允许你授予用户或应用程序在 AWS 中执行特定操作的权限。要让 ECS 容器访问 Postgres 数据库而不使用密码，我们需要执行以下步骤：

创建数据库用户： 为你的应用程序创建一个数据库用户，并授予它必要的权限。
创建 IAM 角色： 创建 IAM 角色并授予其 AmazonECSContainerForEC2Role 策略。此策略允许容器从 ECS 任务中获取 IAM 凭证。
将角色附加到 ECS 任务定义： 在 ECS 任务定义中，指定要使用的 IAM 角色和数据库连接详细信息。

代码示例

可以使用 Python 代码访问 Postgres 数据库，而无需提供密码。以下是一个代码片段示例：

import sqlalchemy
import boto3

def create_db_engine(host, database, user, iam_role):
    url = f"postgresql+psycopg2://{host}/{database}"
    creds = get_database_credentials(iam_role)
    engine = sqlalchemy.create_engine(url, connect_args=creds, pool_size=20, max_overflow=10)
    return engine

def get_database_credentials(iam_role):
    creds = boto3.client('sts').assume_role(RoleArn=iam_role, RoleSessionName="db-access")['Credentials']
    return {
        'user': user,
        'password': creds['AccessKeyId'],
        'host': host,
        'database': database
    }