如何在AWS中为SQL Server凭据创建可轮换机密？

以下是几种实用的实现方案，覆盖不同场景需求：

方案一：AWS Secrets Manager + 自定义轮换Lambda函数 #

这是通用的静态密码轮换方案，适用于自建或托管的SQL Server：

• 在Secrets Manager中创建密钥，存储SQL Server的用户名、初始密码及连接信息（如端点、端口）
• 编写Lambda函数，核心逻辑：从Secrets Manager获取当前凭据、生成符合复杂度的新密码、连接SQL Server执行ALTER LOGIN [your-user] WITH PASSWORD = 'new-password'更新密码、将新密码写回Secrets Manager
• 在Secrets Manager的密钥配置中启用轮换，指定该Lambda函数作为轮换执行器，设置轮换周期（如30天）
• 给Lambda配置必要权限：Secrets Manager的secretsmanager:GetSecretValue/secretsmanager:PutSecretValue权限，以及访问SQL Server的网络权限（RDS实例可通过VPC权限组配置）

方案二：IAM数据库认证（仅限AWS RDS托管的SQL Server） #

无需管理静态密码，通过临时令牌自动轮换：

• 在RDS控制台启用目标SQL Server实例的IAM数据库认证功能
• 创建IAM角色，附加包含rds-db:connect动作的策略，策略中指定允许访问的DB用户和RDS实例ARN
• 在SQL Server中创建对应DB用户：CREATE LOGIN [iam-user-name] FROM IAM，再创建数据库用户并赋予权限：CREATE USER [db-user] FOR LOGIN [iam-user-name]
• 应用程序通过AWS SDK获取临时认证令牌（默认有效期15分钟），使用IAM用户名+令牌作为密码登录SQL Server，令牌过期后自动重新获取，实现无静态密码的自动轮换

方案三：Systems Manager Parameter Store + EventBridge 定时轮换 #

偏好使用Parameter Store管理配置时的可选方案：

• 在Parameter Store中创建安全字符串类型的参数，存储SQL Server凭据
• 编写Lambda函数：生成新密码、更新Parameter Store中的参数值、连接SQL Server执行密码更新语句
• 通过EventBridge创建定时规则（如每天/每月触发），调用该Lambda函数完成凭据轮换
• 确保Lambda拥有Parameter Store的ssm:GetParameter/ssm:PutParameter权限，以及SQL Server的访问和密码修改权限

注意事项 #

• 生成的新密码必须符合SQL Server的密码复杂度要求（如长度、字符种类）
• 轮换逻辑上线前，务必在非生产环境验证全流程，避免因权限或代码问题导致业务中断
• 对于RDS SQL Server，优先推荐IAM数据库认证，从根源减少静态密码泄露风险

内容的提问来源于stack exchange，提问作者user1154422