AWS RDS连接MySQL Workbench后Elastic Beanstalk Java项目无法取数咨询

故障常见诱因 #

• 安全组规则配置遗漏：RDS实例的入站规则仅放开了本地公网IP（支持MySQL Workbench连接），未添加Elastic Beanstalk（以下简称EB）环境对应EC2实例的安全组入站权限，未放通MySQL默认端口3306。
• EB环境变量读取错误：Java项目硬编码了本地测试用的数据库连接参数，未正确读取EB绑定RDS后自动注入的环境变量，或环境变量名称拼写错误。
• JDBC连接参数适配问题：MySQL 8.0及以上版本未使用适配的驱动类，时区参数、SSL连接参数与RDS实例配置不匹配，本地Workbench默认关闭了SSL校验因此可正常连接，但Java服务默认开启SSL校验导致连接失败。
• VPC网络路由异常：RDS实例部署在VPC私有子网内，EB环境的EC2实例部署在无法连通RDS子网的网络环境下，或VPC路由表、网络ACL规则拦截了3306端口的访问请求。
• 权限配置缺失：若使用IAM身份认证连接RDS，EB实例关联的IAM角色未配置rds-db:connect权限，或RDS实例未开启IAM身份认证功能。

对应解决方案 #

• 修正安全组规则：进入RDS实例控制台，配置入站规则，添加来源为EB环境的EC2安全组，端口为3306，协议为TCP，可删除测试用的临时公网IP规则。

• 修正Java项目的连接参数读取逻辑：EB绑定RDS后会自动注入以下环境变量，直接读取即可无需硬编码：

  • 数据库地址：RDS_HOSTNAME
  • 端口：RDS_PORT
  • 用户名：RDS_USERNAME
  • 密码：RDS_PASSWORD
  • 数据库名：RDS_DB_NAME

  Spring Boot项目可直接在application.yml中按如下格式配置：

  spring:
    datasource:
      url: jdbc:mysql://${RDS_HOSTNAME}:${RDS_PORT}/${RDS_DB_NAME}?useUnicode=true&characterEncoding=utf8&serverTimezone=Asia/Shanghai&useSSL=false&allowPublicKeyRetrieval=true
      username: ${RDS_USERNAME}
      password: ${RDS_PASSWORD}
      driver-class-name: com.mysql.cj.jdbc.Driver
  

• 适配JDBC参数：MySQL 8.0及以上版本统一使用com.mysql.cj.jdbc.Driver驱动，添加serverTimezone参数匹配RDS实例所在时区，测试阶段可添加useSSL=false关闭SSL校验，生产环境建议导入RDS根证书后开启SSL校验。

• 修正VPC网络配置：确保EB环境的EC2实例与RDS实例在同一个VPC下，若RDS在私有子网，需确认EB实例所在子网的路由表可路由到RDS子网，网络ACL未拦截3306端口的出入站请求。

• 补全IAM权限：若使用IAM身份认证连接RDS，首先在RDS实例配置中开启IAM数据库身份认证，然后为EB实例关联的IAM角色添加rds-db:connect权限，资源为对应RDS实例的ARN。

标准连接规范与操作步骤 #

• 前置准备：创建与EB环境同VPC的RDS实例，关闭不必要的公网访问权限，记录数据库用户名、密码、初始数据库名。
• 安全组配置：分别创建RDS专属安全组、EB环境专属安全组，RDS安全组入站规则仅允许EB安全组访问3306端口。
• 绑定RDS到EB环境：进入EB控制台对应环境的「配置」-「数据库」页面，选择已创建的RDS实例完成绑定，等待环境更新完成。
• 项目配置适配：Java项目中直接读取EB自动注入的RDS环境变量配置连接参数，适配对应版本的JDBC驱动与连接参数。
• 验证测试：部署项目到EB环境后，查看EB环境日志中的应用日志，确认无数据库连接报错，业务功能可正常读写RDS数据。

内容的提问来源于stack exchange，提问作者Swapnil Kotkar