如何将SQL Server RDS密钥传入Lambda运行的Python代码，最优方案是什么？

方案结论 #

最优实现是AWS Secrets Manager和boto3结合使用，二者是互补关系无需二选一，这也是AWS官方推荐的敏感凭证管理方案：

• Secrets Manager负责加密存储RDS凭证，支持自动密钥轮换、细粒度权限管控，避免硬编码/环境变量泄露风险
• boto3是AWS官方Python SDK，是Python代码从Secrets Manager读取密钥的标准实现工具

前置配置步骤 #

• 在AWS Secrets Manager中创建密钥，类型选择「RDS数据库凭据」，存储SQL Server的地址、端口、用户名、密码、数据库名，记录密钥的名称/ARN
• 为Lambda执行角色添加权限策略，仅允许该角色对上述密钥执行secretsmanager:GetSecretValue操作，遵循最小权限原则
• Lambda运行环境已预装boto3，无需额外打包，仅需提前准备pyodbc兼容层即可

修改后可直接运行的代码 #

import boto3
import pyodbc
import json

# 把boto3客户端初始化放在handler外，冷启动仅执行一次，降低后续调用延迟
secrets_client = boto3.client('secretsmanager')
# 替换为你自己的Secrets Manager密钥名称
SECRET_NAME = "你的RDS密钥名称"

def lambda_handler(event, context):
    # 从Secrets Manager读取密钥
    get_secret_response = secrets_client.get_secret_value(SecretId=SECRET_NAME)
    db_creds = json.loads(get_secret_response['SecretString'])
    
    # 拼接数据库连接串
    conn = pyodbc.connect(
        f"Driver={{ODBC Driver 17 for SQL Server}};"
        f"Server={db_creds['host']},{db_creds['port']};"
        f"Database={db_creds['dbname']};"
        f"UID={db_creds['username']};"
        f"PWD={db_creds['password']};"
    )

    cursor = conn.cursor()
    cursor.execute('SELECT * FROM 你的表名')

    for row in cursor:
        print(row)
    
    # 用完记得关闭连接避免泄漏
    cursor.close()
    conn.close()

注意事项 #

• 原有示例代码中的Trusted_Connection=yes是Windows集成认证参数，RDS SQL Server使用账号密码登录时需要删除该配置
• 不要将密钥硬编码在代码中，也不要直接存在Lambda环境变量中：环境变量默认明文存储，即使开启KMS加密也不支持自动密钥轮换，安全能力远低于Secrets Manager
• 开启Secrets Manager的RDS密钥自动轮换功能后，无需修改代码即可自动适配新密码，无需手动更新配置

内容的提问来源于stack exchange，提问作者marcin2x4