如何在PostgreSQL中通过FDW访问Secrets Manager存储的密码

当然可以实现，下面是两种常用的解决方案：

方案一：使用AWS官方PostgreSQL扩展（针对AWS Secrets Manager） #

如果你的密码存储在AWS Secrets Manager，PostgreSQL提供了官方扩展直接对接：

1. 先安装所需扩展：

CREATE EXTENSION IF NOT EXISTS aws_commons;
CREATE EXTENSION IF NOT EXISTS aws_secretsmanager;

2. 确保PostgreSQL服务拥有访问Secrets Manager的IAM权限（比如给部署PostgreSQL的EC2实例绑定带secretsmanager:GetSecretValue权限的角色，或者通过环境变量配置AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY）
3. 编写动态SQL获取密码并配置Oracle FDW：

DO $$
DECLARE
    v_secret JSON;
    v_oracle_password TEXT;
BEGIN
    -- 从Secrets Manager获取加密的秘密（替换成你的秘密ARN或名称）
    v_secret := aws_secretsmanager.get_secret('arn:aws:secretsmanager:us-east-1:1234567890:secret:oracle-fdw-password-xxxx');
    -- 解析JSON提取密码（假设秘密结构是{"password": "your-oracle-pass"}）
    v_oracle_password := v_secret->>'password';
    
    -- 创建/更新Oracle FDW服务器（替换成你的Oracle连接信息）
    EXECUTE format('
        CREATE SERVER IF NOT EXISTS oracle_fdw_server
        FOREIGN DATA WRAPPER oracle_fdw
        OPTIONS (dbserver ''//oracle-host:1521/orcl'');
    ');
    
    -- 创建用户映射，使用从Secrets Manager获取的密码
    EXECUTE format('
        CREATE USER MAPPING IF NOT EXISTS FOR postgres
        SERVER oracle_fdw_server
        OPTIONS (user ''oracle_user'', password %L);
    ', v_oracle_password);
END $$;

方案二：自定义函数调用Secrets Manager API（通用方案） #

如果用的是非AWS的Secrets Manager，或者无法使用官方扩展，可以通过HTTP请求调用API获取密码：

1. 先安装http扩展（用于发送HTTP请求）：

CREATE EXTENSION IF NOT EXISTS http;

2. 编写PL/pgSQL函数获取密码：

CREATE OR REPLACE FUNCTION get_secretmanager_password(p_secret_url TEXT, p_auth_token TEXT)
RETURNS TEXT AS $$
DECLARE
    v_response http_response;
    v_secret JSON;
BEGIN
    -- 发送GET请求到Secrets Manager API（替换成你的API地址和认证方式）
    v_response := http_get(
        p_secret_url,
        ARRAY[http_header('Authorization', 'Bearer ' || p_auth_token)]
    );
    
    -- 解析返回的JSON获取密码（根据你的Secrets Manager返回结构调整）
    v_secret := v_response.content::JSON;
    RETURN v_secret->>'password';
END $$ LANGUAGE plpgsql SECURITY DEFINER;

3. 同样用动态SQL配置FDW：

DO $$
DECLARE
    v_oracle_password TEXT;
BEGIN
    v_oracle_password := get_secretmanager_password(
        'https://your-secrets-manager-api/v1/secrets/oracle-fdw-password',
        'your-auth-token'
    );
    
    EXECUTE format('
        CREATE USER MAPPING IF NOT EXISTS FOR postgres
        SERVER oracle_fdw_server
        OPTIONS (user ''oracle_user'', password %L);
    ', v_oracle_password);
END $$;

注意事项 #

• 权限控制：确保只有必要的PostgreSQL用户能调用这些获取密码的函数，避免密码泄露
• 缓存优化：可以给函数加缓存逻辑，比如用临时表存储密码，减少Secrets Manager的API调用次数
• 日志安全：动态SQL中用%L格式化密码，避免密码被写入PostgreSQL日志

内容的提问来源于stack exchange，提问作者sudha