Terraform在AWS VPC内创建Postgres RDS后生成受限DB用户方案咨询

可行的通用解决方案 #

1. 利用VPC内的AWS Lambda完成用户创建 #

通过Terraform定义一个部署在目标VPC内的Lambda函数，配置安全组允许其访问RDS实例，在RDS创建完成后触发Lambda执行PostgreSQL用户创建逻辑：

• 用aws_lambda_function资源部署包含PostgreSQL客户端逻辑的代码（比如Python的psycopg2-binary库实现用户创建语句）
• 通过aws_lambda_invocation资源，在RDS资源创建完成后触发Lambda执行
• 整个流程完全在VPC内闭环，无需开放RDS公网访问，也不会每次terraform apply重复创建冗余资源（仅当Lambda代码或配置变更时才会更新）

2. Terraform PostgreSQL Provider + SSH隧道连接VPC内RDS #

如果你的Terraform执行环境（本地机器或CI/CD runner）能SSH访问VPC内的Bastion主机，可以直接通过SSH隧道连接RDS完成用户创建：

• 配置postgresql provider，指定RDS内网地址作为host，同时配置Bastion主机的ssh_host、ssh_user和ssh_private_key
• 用postgresql_role资源直接创建受限用户，可精准配置权限（比如仅授予特定数据库的SELECT/INSERT权限）
• 仅需给Bastion主机开放SSH访问给Terraform执行环境，RDS始终保持VPC内私有访问

3. RDS自定义初始化脚本（PostgreSQL专属） #

针对PostgreSQL RDS，可通过自定义参数组启用pg_cron扩展，结合S3存储初始化脚本，让RDS在创建后自动执行用户创建逻辑：

• 将包含用户创建语句的脚本上传至S3，配置RDS实例拥有S3访问权限
• 通过Terraform配置RDS参数组和初始化触发逻辑，实现用户自动创建
• 适合需要批量初始化数据库对象的场景，无需额外外部执行环境

关于风险场景的解答 #

• 直接使用超级用户：部分小型测试项目或临时环境会这么做，但生产环境绝对不推荐——超级用户拥有数据库全部权限，一旦应用凭证泄露或被入侵，会导致数据被篡改、删除的严重后果。
• 开放数据库至VPC外部：仅在临时排查问题的场景下偶尔使用，生产环境中属于高危操作，会将数据库暴露在公网中，极易遭受暴力破解、SQL注入等攻击，违反AWS安全最佳实践。

内容的提问来源于stack exchange，提问作者Jeremy Gillick