如何结合AWS IAM角色使用postgres_fdw用户映射，避免存储凭证？

1. postgres_fdw能否实现用本地RDS IAM角色连接远程RDS、免存储静态凭证？ #

原生postgres_fdw无法直接实现该需求，原因有两点：

• 你当前使用的PostgreSQL 10.14版本的postgres_fdw仅支持在CREATE USER MAPPING配置中静态填写固定的远程数据库用户名、密码，无法支持动态生成认证凭证的逻辑
• RDS IAM认证使用的是有效期仅15分钟的动态签名令牌，无法作为静态密码提前存储到用户映射配置中

2. 是否存在和postgres_fdw功能一致、支持IAM认证的FDW？ #

目前没有经过生产环境验证、功能和原生postgres_fdw完全对齐且原生支持RDS IAM认证的第三方FDW实现。

3. 无需在本地RDS内部存储远程凭证的可行方案 #

• 方案一：升级本地RDS PostgreSQL到14及以上版本，配合自定义密码获取钩子实现动态令牌生成。你可以编写PL/pgSQL自定义函数，调用AWS签名接口生成远程RDS的IAM认证令牌，每次postgres_fdw发起连接时动态传入令牌作为密码，不需要静态存储任何远程凭证。该方案需要先为本地RDS实例关联具备远程RDS IAM连接权限的IAM角色，同时配置RDS的参数组开放相关扩展权限。
• 方案二：新增连接代理层中转请求。在本地RDS和远程RDS之间部署自定义的连接代理（如定制化的PgBouncer），代理层预先绑定有权限的IAM角色，自动完成到远程RDS的IAM认证，本地postgres_fdw仅需要配置代理的本地访问凭证，不需要存储远程RDS的真实凭证。
• 方案三：凭证自动轮转降低风险。如果暂时无法调整现有架构，可以配合AWS Secrets Manager实现凭证自动更新：通过定时任务定期拉取Secrets Manager中存储的远程RDS凭证，自动刷新本地USER MAPPING的密码配置，避免硬编码凭证，降低泄露后的影响范围。

内容的提问来源于stack exchange，提问作者Hendrik Wiese