AWS RDS PostgreSQL使用IAM认证仅能单次登录报PAM认证失败问题

1. 确认RDS实例基础配置 #

• 首先确认你在RDS控制台已经为该实例开启了IAM数据库身份认证，这个开关是实例级别的，必须手动开启，未开启的话所有IAM认证请求都会返回PAM失败
• 确认你创建的数据库用户user_name的名称，和你生成IAM token时传入的--username参数完全一致，大小写敏感，不要有多余空格
• 确认你给用户授权的语句是用master账号权限执行的，首次登录成功时可以用\du命令确认rds_iam权限是否真的授予成功
• 若你的master账号也被授予了rds_iam角色，那么master账号也不能再用原始密码登录，必须使用IAM token进行认证

2. 检查IAM权限配置 #

• 确认你用来生成IAM token的AWS身份（本地配置的AK/SK对应的IAM用户/角色），已经绑定了包含rds-db:connect动作的策略，策略的资源格式必须是arn:aws:rds-db:<区域>:<账号ID>:dbuser:<RDS资源ID>/<数据库用户名>，注意这里的资源前缀是rds-db不是普通的rds，配置错误会直接导致认证失败
• 确认策略中没有附加额外限制条件（比如源IP限制、时间限制），如果有条件请先移除再测试
• 执行aws sts get-caller-identity确认本地AWS CLI的身份配置正确，返回的ARN是你绑定了权限的IAM身份

3. 验证连接参数正确性 #

• IAM认证强制要求使用SSL连接，你不带证书的非SSL请求返回pg_hba.conf rejects connection是正常行为，所有IAM认证的连接必须携带CA证书、开启SSL
• 生成的IAM token有效期只有15分钟，每次连接前都要重新生成新的token，不要使用过期的token
• IAM token是大小写敏感的，不要修改生成的token内容，也不要在复制粘贴的时候遗漏字符
• 测试连接前可以执行echo $PGPASSWORD打印生成的密码，确认没有空值或者多余的换行符

4. 实例级异常排查 #

• 查看RDS实例的日志/事件，搜索PAM相关的报错，会有更具体的失败原因，比如是token无效、权限不足还是用户不存在
• 如果你开启了RDS的Kerberos认证，请先关闭，Kerberos和IAM认证会存在冲突
• 确认RDS实例的参数组中pam_roles参数没有配置额外限制，保持默认值即可

内容的提问来源于stack exchange，提问作者yaros