使用psycopg2 LogicalReplicationConnection时RDS IAM认证密码错误问题

• 核心为IAM令牌签名校验不匹配：psycopg2.extras.LogicalReplicationConnection 初始化连接时，会自动追加replication=database参数标识逻辑复制请求。你此前生成RDS IAM临时令牌时，签名参数列表未包含该replication参数，而RDS IAM认证逻辑会严格比对令牌签名参数与实际连接请求的所有参数，参数不一致就会返回密码认证失败。
• 普通Postgres连接不会自动添加replication参数，与生成令牌时的参数完全匹配，因此可以正常认证。
• pipelinewise-tap-postgres底层调用逻辑复制连接时也会自动追加replication参数，因此触发相同的校验失败问题。

1. 调整IAM令牌生成逻辑 #

生成RDS IAM临时令牌时，需要将逻辑复制连接额外携带的replication=database加入签名参数列表：

• Python boto3示例：

import boto3

rds_client = boto3.client('rds')
token = rds_client.generate_db_auth_token(
    DBHostname='dbname.accountrdsid.us-west-1.rds.amazonaws.com',
    Port=5432,
    DBUsername='myuser',
    Region='us-west-1',
    # 新增复制参数到签名列表
    QueryParams={'replication': 'database'}
)

• AWS CLI示例：

aws rds generate-db-auth-token \
  --hostname dbname.accountrdsid.us-west-1.rds.amazonaws.com \
  --port 5432 \
  --username myuser \
  --region us-west-1 \
  --query-params "replication=database"

生成的新令牌即可用于逻辑复制连接认证。

2. 开通数据库用户复制权限 #

使用高权限账号登录RDS Postgres实例，为连接账号开通逻辑复制权限：

ALTER USER myuser WITH REPLICATION;

3. pipelinewise-tap-postgres适配 #

使用该工具时，完成上述两项调整后，在工具配置中正常开启逻辑复制相关配置即可，无需额外修改工具源码。

内容的提问来源于stack exchange，提问作者Dean