如何在AWS RDS上自动化执行SQL命令创建/更新多租户数据库

Lambda完全支持运行bash脚本，并且可以轻松接收客户名称等参数，结合AWS CLI和数据库客户端就能实现全托管的自动化流程。以下是具体实现步骤：

一、核心前提确认 #

• Lambda的Amazon Linux 2/2023运行时默认内置bash和AWS CLI，无需额外配置基础环境。
• 可以通过Lambda事件（Event）传递客户名称等参数，脚本通过解析STDIN中的JSON数据获取参数。

二、实现步骤 #

1. 编写自动化bash脚本 #

创建handler.sh脚本，包含RDS实例创建、数据库初始化、凭证存储等逻辑（以MySQL为例，可根据实际数据库引擎调整）：

#!/bin/bash
set -eo pipefail

# 读取Lambda事件（JSON格式从STDIN传入）
EVENT=$(cat)
# 解析客户名称，处理特殊字符以符合RDS命名规则
CUSTOMER_NAME=$(echo "$EVENT" | jq -r '.customer_name' | sed 's/[^a-zA-Z0-9]/-/g' | sed 's/^-//;s/-$//')

# 生成合规的RDS实例ID和数据库名
DB_INSTANCE_ID="customer-${CUSTOMER_NAME}"
DB_NAME="db_${CUSTOMER_NAME}"

# 生成随机密码（用于主用户和客户专属用户）
MASTER_PWD=$(aws secretsmanager get-random-password --password-length 16 --require-each-included-type --query RandomPassword --output text)
USER_PWD=$(aws secretsmanager get-random-password --password-length 12 --require-each-included-type --query RandomPassword --output text)

# 创建RDS实例
aws rds create-db-instance \
    --db-instance-identifier "$DB_INSTANCE_ID" \
    --db-instance-class db.t3.micro \
    --engine MySQL \
    --engine-version 8.0 \
    --master-username admin \
    --master-user-password "$MASTER_PWD" \
    --allocated-storage 20 \
    --publicly-accessible false \
    --vpc-security-group-ids sg-xxxxxxx \ # 替换为你的VPC安全组ID
    --db-subnet-group-name your-db-subnet-group # 替换为你的RDS子网组

# 等待RDS实例可用（Lambda需设置足够超时时间，建议15分钟）
aws rds wait db-instance-available --db-instance-identifier "$DB_INSTANCE_ID"

# 获取数据库端点信息
DB_ENDPOINT=$(aws rds describe-db-instances --db-instance-identifier "$DB_INSTANCE_ID" --query 'DBInstances[0].Endpoint.Address' --output text)
DB_PORT=$(aws rds describe-db-instances --db-instance-identifier "$DB_INSTANCE_ID" --query 'DBInstances[0].Endpoint.Port' --output text)

# 初始化客户专属数据库和用户
mysql -h "$DB_ENDPOINT" -P "$DB_PORT" -u admin -p"$MASTER_PWD" <<EOF
CREATE DATABASE IF NOT EXISTS $DB_NAME;
CREATE USER IF NOT EXISTS '${CUSTOMER_NAME}_user'@'%' IDENTIFIED BY '$USER_PWD';
GRANT ALL PRIVILEGES ON $DB_NAME.* TO '${CUSTOMER_NAME}_user'@'%';
FLUSH PRIVILEGES;
EOF

# 将客户数据库凭证存储到SecretsManager
aws secretsmanager create-secret \
    --name "customer/${CUSTOMER_NAME}/db-credentials" \
    --secret-string "{\"username\":\"${CUSTOMER_NAME}_user\",\"password\":\"$USER_PWD\",\"host\":\"$DB_ENDPOINT\",\"port\":\"$DB_PORT\",\"dbname\":\"$DB_NAME\"}"

echo "{\"status\":\"success\",\"customer\":\"$CUSTOMER_NAME\",\"db_instance_id\":\"$DB_INSTANCE_ID\"}"

2. 处理依赖工具 #

• 如果脚本用到jq（解析JSON事件）或mysql客户端，Lambda默认环境可能缺少这些工具：
  • 下载对应Amazon Linux兼容的二进制文件，和脚本一起打包成ZIP；
  • 或创建Lambda层，将依赖工具打包后附加到Lambda函数，避免重复打包。

3. 配置Lambda函数 #

• 运行时：选择Amazon Linux 2或Amazon Linux 2023；

• 处理程序：设置为handler.sh；

• 超时时间：调整为15分钟（Lambda最大允许值，适配RDS创建耗时）；

• IAM角色：为Lambda分配具备以下权限的角色：

  • RDS实例创建、查询权限；
  • SecretsManager密码生成、存储权限；
  • CloudWatch日志写入权限；
  • VPC安全组查询权限（如果需要）。

  示例IAM策略片段：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": ["rds:CreateDBInstance", "rds:DescribeDBInstances", "rds:WaitDBInstanceAvailable"],
              "Resource": "arn:aws:rds:*:*:db:customer-*"
          },
          {
              "Effect": "Allow",
              "Action": ["secretsmanager:GetRandomPassword", "secretsmanager:CreateSecret"],
              "Resource": "arn:aws:secretsmanager:*:*:secret:customer/*"
          },
          {
              "Effect": "Allow",
              "Action": ["logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents"],
              "Resource": "arn:aws:logs:*:*:*"
          }
      ]
  }
  

4. 触发Lambda并传递参数 #

可以通过API Gateway、SQS、控制台测试等方式触发Lambda，传入包含客户名称的JSON事件：

{
    "customer_name": "acme_corp"
}

三、关键注意事项 #

• 错误处理：脚本中使用set -eo pipefail确保出错时终止执行，可添加trap逻辑实现资源回滚（如RDS创建失败时删除实例）；
• 命名合规：客户名称需处理为符合RDS命名规则的字符串（仅字母、数字、连字符，长度1-63）；
• 成本优化：按需选择合适的RDS实例规格，可配合标签管理租户资源，便于后续计费和运维。

内容的提问来源于stack exchange，提问作者Manjunath