如何使用IAM Role实现RDS主用户名及主密码的访问认证

RDS主用户（即实例创建时生成的初始管理员账号）原生支持通过IAM Role实现身份认证，你已经掌握的普通用户IAM认证流程中，IAM Role信任策略配置、rds-db:connect权限策略配置、认证令牌生成、客户端连接配置这几个环节可以完全复用，核心差异仅在数据库内部的主用户属性调整，具体落地方案如下：

• 先确认RDS实例已开启IAM数据库认证开关：在实例配置页的「数据库认证」板块勾选IAM认证选项，保存后等待实例状态变更为「可用」即可，该操作无需重启实例，不会中断现有业务。
• 提前准备好主用户的现有密码，首次配置需要用密码登录数据库执行调整命令。

MySQL / MariaDB 引擎 #

1. 使用现有主密码登录数据库，执行如下命令将主用户的认证方式切换为IAM认证插件，替换命令中占位符为你实际的主用户名：

ALTER USER '<your_master_username>'@'%' IDENTIFIED WITH AWSAuthenticationPlugin AS 'RDS';

2. 执行校验命令确认配置生效：

SELECT user, plugin FROM mysql.user WHERE user = '<your_master_username>';

返回结果中plugin字段值为AWSAuthenticationPlugin即代表配置正确。
3. 后续即可直接复用普通用户的IAM令牌生成逻辑，使用主用户名+IAM令牌登录数据库，原主密码会自动失效。

PostgreSQL 引擎 #

1. 使用现有主密码登录数据库，先给主用户绑定IAM认证所需的内置角色：

GRANT rds_iam TO <your_master_username>;

2. 由于PostgreSQL优先级规则为密码认证高于IAM认证，需要清空主用户的密码属性，强制走IAM认证流程：

ALTER ROLE <your_master_username> WITH PASSWORD NULL;

3. 执行校验命令确认配置生效：

SELECT rolname, rolpassword FROM pg_roles WHERE rolname = '<your_master_username>';

返回结果中rolpassword字段为空、且主用户已关联rds_iam角色即代表配置生效。

如果你需要保留主用户密码作为应急登录手段，不想修改主用户的默认认证方式，可以直接新建一个数据库用户，给该用户授予和主用户完全一致的库表权限、超级用户属性，再按你已经掌握的普通用户IAM配置流程给这个新用户绑定IAM认证即可，使用体验和主用户走IAM认证完全一致，同时保留了原主用户密码的应急登录能力。

• 主用户IAM认证的令牌有效期、权限范围规则和普通用户完全一致，生成的令牌默认15分钟过期，不需要额外配置特殊参数。
• 配置操作完全可逆，如果后续需要切回密码认证，MySQL/MariaDB直接重新给主用户设置密码即可，PostgreSQL给主用户重新设置密码、移除rds_iam角色即可恢复密码登录。
• 不要给主用户配置过于宽泛的IAM访问权限，遵循最小权限原则分配rds-db:connect权限即可。

内容的提问来源于stack exchange，提问作者Bk Bharath