如何通过修改AWS Secrets Manager手动同步更新RDS主密码

原生自动同步的局限性 #

AWS原生不支持手动修改Secrets Manager密码后自动同步到RDS实例。官方提供的自动轮换功能是由Secrets Manager主动触发的周期性流程，仅适用于自动生成密码的场景，与手动修改密码的需求不匹配。

CLI脚本模拟同步方案 #

可以通过AWS CLI编写脚本实现手动修改密码后的同步操作，具体步骤如下：

前提条件 #

• 执行脚本的IAM实体（用户/角色）需具备以下权限：
  • secretsmanager:GetSecretValue
  • rds:ModifyDBInstance
• 已安装并配置AWS CLI（建议使用2.x版本）
• 安装jq工具用于解析JSON格式的Secret内容

示例脚本 #

#!/bin/bash

# 替换为你的资源名称
SECRET_NAME="MYRDSPASSWORD"
DB_INSTANCE_ID="MyDBInstance"

# 从Secrets Manager获取最新密码
SECRET_JSON=$(aws secretsmanager get-secret-value --secret-id "$SECRET_NAME" --query 'SecretString' --output text)
NEW_PASSWORD=$(echo "$SECRET_JSON" | jq -r '.password')

# 更新RDS实例主密码
aws rds modify-db-instance \
  --db-instance-identifier "$DB_INSTANCE_ID" \
  --master-user-password "$NEW_PASSWORD" \
  --apply-immediately

# 等待RDS实例状态恢复可用
echo "等待RDS密码更新完成..."
aws rds wait db-instance-available --db-instance-identifier "$DB_INSTANCE_ID"
echo "RDS密码同步完成"

使用说明 #

1. 替换脚本中的SECRET_NAME和DB_INSTANCE_ID为你的实际资源标识
2. 如果你的Secrets Manager SecretString结构不同（比如密码字段名不是password），需要调整jq解析的字段路径
3. 执行脚本前确保AWS CLI已配置正确的凭证和区域

进阶：自动触发同步 #

若要实现手动修改Secrets Manager后自动执行同步，可结合Amazon EventBridge：

• 创建EventBridge规则，监听Secrets Manager的SecretUpdated事件
• 将规则目标设置为Lambda函数，在函数中实现上述同步逻辑（可使用Python/Node.js重写脚本逻辑）
• 为Lambda角色配置所需的Secrets Manager和RDS权限

内容的提问来源于stack exchange，提问作者Drew Aschenbrener