AWS RDS MySQL IAM权限配置异常：其他AWS用户无法连接数据库

我之前处理过好几起IAM认证用户无法连接RDS MySQL的案例，咱们从最常见的几个点一步步排查：

1. 确认IAM用户的权限策略配置正确 #

• 必须给目标IAM用户附加包含rds-db:connect动作的权限策略，策略里的资源ARN要精准匹配你的RDS实例和MySQL用户名，格式为arn:aws:rds-db:区域:账号ID:dbuser:实例ID/MySQL用户名。
• 示例策略代码：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "rds-db:connect",
            "Resource": "arn:aws:rds-db:us-east-1:123456789012:dbuser:db-ABCDEFGHIJKLMNOPQRSTUVWXYZ/my_iam_user"
        }
    ]
}

2. 检查MySQL用户的IAM认证属性 #

• 创建IAM关联的MySQL用户时，必须指定认证插件，执行的SQL语句应该是：

CREATE USER 'my_iam_user'@'%' IDENTIFIED WITH AWSAuthenticationPlugin AS 'RDS';

• 可以用原管理员用户登录MySQL，执行以下命令验证插件配置：

SELECT User, plugin FROM mysql.user WHERE User = 'my_iam_user';

返回的plugin字段应该是mysql_clear_password（AWSAuthenticationPlugin会映射到这个值）。

3. 确保连接方式符合IAM认证要求 #

• IAM用户不能用普通密码连接，必须生成临时认证令牌作为密码，同时强制启用SSL：
  • 用AWS CLI生成令牌：

  aws rds generate-db-auth-token --hostname your-rds-endpoint --port 3306 --username my_iam_user --region your-region
  

  • 用MySQL客户端连接（记得提前下载对应区域的RDS CA证书）：

  mysql --host=your-rds-endpoint --port=3306 --user=my_iam_user --password=$(aws rds generate-db-auth-token --hostname your-rds-endpoint --port 3306 --username my_iam_user --region your-region) --ssl-ca=./rds-ca-2019-root.pem
  

• 如果是应用程序连接，要确保使用的AWS SDK支持IAM数据库认证，并正确配置令牌生成逻辑和SSL参数。

4. 确认RDS实例已启用IAM数据库认证 #

• 登录AWS控制台，找到你的RDS实例，进入“配置”标签页，检查“数据库认证”选项是否已开启“IAM数据库认证”。如果未开启，IAM用户无法通过这种方式连接。

5. 排查网络与安全组配置 #

• 客户端所在的机器（EC2实例或本地设备）的安全组/防火墙必须允许 outbound 访问RDS实例的3306端口；
• RDS实例的安全组必须允许 inbound 流量来自客户端的IP地址或安全组；
• 本地连接的话，要确认你的公网IP已添加到RDS安全组的白名单中。

6. 验证IAM身份与令牌有效性 #

• 先执行aws sts get-caller-identity确认当前终端使用的是目标IAM用户的凭证，避免误用了其他身份；
• 临时令牌默认有效期为15分钟，确保连接时令牌尚未过期，如果过期需要重新生成。

如果以上步骤都排查完毕仍无法连接，建议查看RDS实例的CloudWatch日志（比如error/mysql-error.log），日志里会记录具体的认证失败原因，比如权限不足、插件不匹配等，能帮你更快定位问题。

内容的提问来源于stack exchange，提问作者Miton Leon