AWS Lambda Node.js如何通过Secrets Manager连接PostgreSQL并查询

1. 配置Lambda权限 #

• 给Lambda的执行角色添加SecretsManagerReadWrite权限（生产环境建议最小化权限：仅允许secretsmanager:GetSecretValue操作，指定你的PostgreSQL secret ARN）
• 确保Lambda与PostgreSQL实例在同一VPC下，或者PostgreSQL实例开启公网访问且安全组允许Lambda的IP/安全组访问5432端口

2. 准备依赖 #

使用pg库连接PostgreSQL，本地项目中执行：

npm install pg @aws-sdk/client-secrets-manager

将代码和node_modules一起打包上传Lambda，或者把这些依赖做成Lambda层复用。

3. 完整代码示例 #

const { SecretsManagerClient, GetSecretValueCommand } = require("@aws-sdk/client-secrets-manager");
const { Client } = require('pg');

// 初始化Secrets Manager客户端
const secretsManager = new SecretsManagerClient({ region: '你的AWS区域' });
const secretName = '你的PostgreSQL Secret名称';

// 获取并解析数据库凭证
async function getDbCredentials() {
  try {
    const command = new GetSecretValueCommand({ SecretId: secretName });
    const response = await secretsManager.send(command);
    // 解析JSON格式的secret内容
    return JSON.parse(response.SecretString);
  } catch (err) {
    console.error('获取凭证失败:', err);
    throw err;
  }
}

// Lambda主处理函数
exports.handler = async (event) => {
  let dbClient;
  try {
    // 获取数据库凭证
    const credentials = await getDbCredentials();
    
    // 初始化PostgreSQL客户端
    dbClient = new Client({
      host: credentials.host,
      port: credentials.port,
      user: credentials.username,
      password: credentials.password,
      database: '你的数据库名称', // 替换为实际数据库名
      ssl: { rejectUnauthorized: false } // AWS RDS默认要求SSL，按需调整
    });

    // 连接数据库
    await dbClient.connect();
    console.log('数据库连接成功');

    // 执行查询
    const queryText = 'SELECT * FROM 你的表名 LIMIT 5;'; // 替换为实际查询语句
    const result = await dbClient.query(queryText);
    console.log('查询结果:', result.rows);

    return {
      statusCode: 200,
      body: JSON.stringify({ data: result.rows })
    };
  } catch (err) {
    console.error('执行出错:', err);
    return {
      statusCode: 500,
      body: JSON.stringify({ error: err.message })
    };
  } finally {
    // 确保关闭数据库连接，避免资源泄漏
    if (dbClient) {
      await dbClient.end();
      console.log('数据库连接已关闭');
    }
  }
};

关键注意事项 #

• 区域配置：替换代码中你的AWS区域为实际区域（比如us-east-1）
• Secret名称：替换你的PostgreSQL Secret名称为你在Secrets Manager中创建的secret名称/ARN
• 数据库信息：填写实际的数据库名和查询语句
• SSL设置：生产环境建议使用RDS官方信任的证书，而非rejectUnauthorized: false
• 权限最小化：生产环境不要用SecretsManagerReadWrite，而是创建自定义IAM策略，仅允许读取目标secret

内容的提问来源于stack exchange，提问作者Erwin