为平台每位用户分配AWS IAM身份，存储于RDS是否安全？

嘿，这个问题问得很关键——毕竟IAM凭据可是AWS权限的“钥匙”，直接往RDS里存确实得好好掂量掂量安全性。我来给你掰扯清楚这里面的风险，还有更稳妥的替代方案：

• 静态存储敏感数据的致命风险：IAM访问密钥（Access Key ID + Secret Access Key）属于极高敏感的凭据，一旦泄露，攻击者能直接接管对应IAM身份的所有权限。哪怕你给RDS开了加密，只要你的应用能读取这些密钥，一旦应用被攻破、数据库权限泄露，这些密钥就等于直接送出去了。
• 凭据生命周期全靠自己扛，容易翻车：AWS IAM本身自带密钥轮换、禁用/删除的功能，但如果把密钥存在自己的RDS里，你得从零实现一套完整的轮换、过期、撤销机制——这活儿看似简单，实则很容易出错：比如忘记轮换导致密钥半年甚至一年都没变过，或者删除不及时留下“幽灵凭据”。
• 合规性可能踩红线：像PCI-DSS、SOC2这类常见合规框架，明确要求敏感凭据不能静态存储，必须用专门的密钥管理服务处理。直接存RDS里，大概率会违反这些合规要求，给后续审计添麻烦。

• 用IAM角色替代长期密钥：如果你的应用跑在AWS服务上（比如ECS、EC2、Lambda），完全没必要给用户分配长期密钥。你只需要在RDS里存用户和对应IAM角色的关联关系，应用通过AWS STS服务获取临时凭据——这些凭据会自动过期，就算泄露了也没用多久，风险大大降低。
• 把密钥丢给AWS Secrets Manager管：如果真的需要用长期密钥（比如某些非AWS环境的客户端），别往RDS里塞，把密钥存在AWS Secrets Manager里。RDS里只存用户和Secrets Manager中密钥的ARN/名称关联就行。应用需要的时候从Secrets Manager拉取，还能利用它的自动密钥轮换功能，省得自己操心维护。
• 用IAM身份中心（SSO）搞定用户权限：如果是给内部用户分配AWS访问权限，直接上IAM身份中心，把你的用户目录（比如AD、SAML身份提供商）和AWS集成。用户通过SSO登录就能获取临时权限，完全不用管什么密钥，更不用往自己数据库里存任何IAM凭据。

直接把IAM身份的密钥存在RDS里真不是个安全的选择，风险远大于那点便利。优先用IAM角色、Secrets Manager或者IAM身份中心这类AWS原生的凭据管理方案，既能降风险，又能少给自己找活儿干。

内容的提问来源于stack exchange，提问作者El Fadel Anas