如何在AWS RDS安全组中配置自动IP地址更新功能

方案1：本地执行脚本（最适合个人用户，实现成本最低） #

核心逻辑是本地脚本自动获取当前公网IP，调用AWS官方接口修改指定安全组的入站规则。

• 前置准备：
  • 本地安装并配置aws cli，完成AWS身份认证，所用IAM账号需拥有指定安全组的修改权限，建议配置最小权限，避免过度授权
  • 提前记录目标安全组ID、PostgreSQL服务的监听端口（默认是5432）
• bash示例脚本（可在Linux、macOS或WSL环境运行）：

# 获取当前设备公网IP
CURRENT_IP=$(curl -s ifconfig.me/ip)
# 替换为你的目标安全组ID
SG_ID="sg-替换为你的安全组ID"
# 自定义规则描述，用于精准匹配要更新的规则，避免误操作其他规则
RULE_DESC="个人设备RDS访问规则"

# 先删除旧的同描述IP规则
OLD_IP=$(aws ec2 describe-security-groups --group-ids $SG_ID --query "SecurityGroups[0].IpPermissions[?FromPort==\`5432\`].IpRanges[?Description==\`$RULE_DESC\`].CidrIp" --output text)
if [ $OLD_IP != "None" ]; then
  aws ec2 revoke-security-group-ingress \
      --group-id $SG_ID \
      --protocol tcp \
      --port 5432 \
      --cidr $OLD_IP
fi

# 添加新的公网IP访问规则
aws ec2 authorize-security-group-ingress \
    --group-id $SG_ID \
    --protocol tcp \
    --port 5432 \
    --cidr "$CURRENT_IP/32" \
    --description "$RULE_DESC"

• 自动触发配置：
  • Linux/macOS可配置crontab定时任务，设置为开机、网络变更或者每小时执行一次脚本
  • Windows可配置系统任务计划程序，绑定网络连接成功的触发条件执行脚本

方案2：AWS托管自动化方案（适合团队或多设备使用场景） #

如果不想在本地维护运行环境，可使用AWS原生服务实现全托管的自动更新：

• 编写Lambda函数，逻辑和上述本地脚本一致，使用Python/Node.js调用AWS SDK完成安全组规则更新
• 可搭配CloudWatch Events设置定时触发，也可以搭配API Gateway生成触发接口，需要更新IP时直接访问接口即可
• 注意必须给Lambda对应的IAM角色配置最小权限，仅允许修改目标安全组的入站规则

安全注意事项 #

• 所有用于修改安全组的IAM身份（本地cli的密钥、Lambda的角色）都必须做权限限制，仅开放ec2:RevokeSecurityGroupIngress和ec2:AuthorizeSecurityGroupIngress两个操作权限，且资源范围限制到目标安全组
• 必须通过规则描述精准匹配要修改的规则，避免误删其他业务的访问规则
• 非必要情况下可关闭RDS的公网访问，通过VPC对等连接、VPN等方式访问，进一步降低安全风险

内容的提问来源于stack exchange，提问作者diabetico