无法修改OwnCloud代码，如何借助AWS Secrets Manager实现RDS密码轮换？

核心思路 #

通过扩展AWS Secrets Manager的自定义轮换Lambda函数，在完成RDS密码更新后，借助SSM Run Command同步更新EC2实例上的OwnCloud配置文件，实现端到端的密码轮换。

具体步骤 #

1. 配置必要的IAM权限 #

• 给轮换Lambda函数附加以下权限：
  • 基础的Secrets Manager读写权限（默认轮换函数已包含）
  • RDS的rds:ModifyDBInstance权限（用于更新数据库密码）
  • SSM的ssm:SendCommand权限（用于向EC2发送配置更新命令）
• 确保EC2实例已安装并激活SSM Agent，且实例的IAM角色包含AmazonSSMManagedInstanceCore权限，允许接收SSM命令

2. 修改自定义轮换Lambda函数 #

在默认轮换逻辑（生成新密码→更新RDS→验证新密码）之后，添加以下流程：

1. 从Secrets Manager中获取最新的数据库凭证（用户名、新密码）
2. 构造Shell脚本，用于替换OwnCloud配置文件中的密码字段：

   # 假设OwnCloud配置文件路径为/var/www/html/owncloud/config/config.php
   sed -i "s/'dbpassword' => '[^']*'/'dbpassword' => '${NEW_DB_PASSWORD}'/" /var/www/html/owncloud/config/config.php
   # 重启PHP-FPM使配置生效（根据你的Web服务调整，比如apache2）
   systemctl restart php-fpm
   

3. 调用AWS SSM的SendCommand API，指定目标EC2实例（通过实例ID或标签筛选）执行上述脚本

3. 验证轮换流程 #

• 手动触发Secrets Manager的密码轮换操作
• 检查RDS控制台的数据库密码是否已更新
• 登录EC2实例查看OwnCloud配置文件的dbpassword字段是否同步变更
• 访问OwnCloud服务，确认数据库连接正常

关键注意事项 #

• 确保Lambda函数与EC2实例在同一VPC，或EC2实例有公网访问权限（SSM需要联网通信）
• 调整脚本中的配置文件路径和服务重启命令，匹配你的OwnCloud部署环境
• 在Lambda中添加错误处理：如果SSM命令执行失败，自动回滚RDS密码到旧值，避免服务中断
• 定期测试轮换流程，确保稳定性

内容的提问来源于stack exchange，提问作者hongphuc95