如何通过AWS CDK在RDS实例就绪后触发Lambda执行数据库配置？

你遇到的问题核心在于两个关键点：没有显式声明自定义资源与RDS实例的依赖关系，以及错误地直接传递了Secret Construct对象而非可解析的属性值。下面是完整的代码示例和关键步骤说明：

1. 显式声明依赖，确保RDS就绪后再执行自定义资源 #

CDK默认不会自动推断自定义资源和RDS之间的依赖，所以需要手动调用addDependency方法，告诉CloudFormation必须等RDS实例完全创建并就绪后，才触发自定义资源的Lambda函数：

// 保留你原有的RDS实例创建代码
const database = new rds.DatabaseInstance(this, 'db', {
  instanceIdentifier: conf.systemName,
  engine: rds.DatabaseInstanceEngine.POSTGRES,
  instanceType: ec2.InstanceType.of(ec2.InstanceClass.BURSTABLE3, ec2.InstanceSize.MICRO),
  masterUsername: MASTER_USER,
  allocatedStorage: 20,
  maxAllocatedStorage: 100,
  multiAz: conf.isProduction,
  storageEncrypted: true,
  backupRetention: cdk.Duration.days(7),
  deletionProtection: false,
  vpc,
  securityGroups: [rdsSG]
});

// 创建自定义资源时，传递Secret的可解析属性而非整个对象
const preinstallCustomResource = new cdk.CustomResource(this, 'preinstall', {
  serviceToken: preinstallProvider.serviceToken,
  properties: {
    dbSecretArn: database.secret!.secretArn,
    dbSecretName: database.secret!.secretName,
    dbHost: database.dbInstanceEndpointAddress,
    dbPort: database.dbInstanceEndpointPort
  }
});

// 显式添加依赖：强制自定义资源在RDS实例创建完成后执行
preinstallCustomResource.node.addDependency(database);

2. 正确配置Lambda函数（自定义资源后端） #

你的Lambda需要具备读取SecretsManager凭证、连接Postgres、创建用户的能力，同时要配置足够的权限和网络访问：

先配置Lambda的IAM与网络权限 #

// 给Lambda添加SecretsManager读取权限
database.secret!.grantRead(preinstallProvider);
// 允许Lambda的安全组访问RDS的5432端口
rdsSG.connections.allowFrom(preinstallProvider.securityGroup!, ec2.Port.tcp(5432));

Lambda核心业务逻辑（TypeScript） #

import { SecretsManagerClient, GetSecretValueCommand } from "@aws-sdk/client-secrets-manager";
import { Client } from 'pg';

export const handler = async (event: any) => {
  const secretsManager = new SecretsManagerClient({ region: process.env.AWS_REGION });
  
  try {
    // 1. 获取RDS主账号凭证
    const secretResponse = await secretsManager.send(new GetSecretValueCommand({
      SecretId: event.ResourceProperties.dbSecretArn
    }));
    const dbCredentials = JSON.parse(secretResponse.SecretString!);
    
    // 2. 连接Postgres数据库
    const client = new Client({
      host: event.ResourceProperties.dbHost,
      port: parseInt(event.ResourceProperties.dbPort),
      user: dbCredentials.username,
      password: dbCredentials.password,
      database: 'postgres' // 连接默认数据库
    });
    
    await client.connect();
    
    // 3. 创建微服务专用数据库用户（建议密码存在独立Secret中，这里简化示例）
    const appUsername = 'microservice_user';
    const appPassword = 'your_secure_random_password';
    
    await client.query(`CREATE USER ${appUsername} WITH PASSWORD '${appPassword}'`);
    await client.query(`GRANT CONNECT ON DATABASE postgres TO ${appUsername}`);
    // 按需添加更多权限，比如GRANT SELECT ON TABLE...
    
    await client.end();
    
    // 返回成功结果给CloudFormation
    return {
      Status: 'SUCCESS',
      PhysicalResourceId: event.PhysicalResourceId || 'db-user-creation',
      Data: { username: appUsername }
    };
  } catch (error) {
    console.error('Error creating DB user:', error);
    // 返回失败，CloudFormation会自动重试3次
    return {
      Status: 'FAILED',
      Reason: (error as Error).message,
      PhysicalResourceId: event.PhysicalResourceId || 'db-user-creation'
    };
  }
};

3. 额外注意事项 #

• Lambda依赖打包：需要将pg库打包进Lambda，你可以用CDK的lambda.LayerVersion来管理依赖，或者用Docker镜像部署Lambda。
• 密码安全：微服务的数据库密码建议存在独立的SecretsManager Secret中，不要硬编码，可在CDK中创建后传递给Lambda。
• 清理逻辑：如果需要在删除CloudFormation栈时自动删除创建的用户，可以在Lambda中处理Delete事件类型。
• 重试机制：CloudFormation自定义资源默认会在失败时重试3次，配合显式依赖，基本能避免RDS未就绪的问题。

内容的提问来源于stack exchange，提问作者André