能否通过AWS IAM实现数据库级别的访问控制？

AWS原生IAM数据库认证本身没有提供直接的数据库级别授权开关，但可以通过IAM角色映射+数据库内置权限系统的组合方式，实现严谨的数据库级访问控制，替代“授权所有Schema”的折中方案，具体步骤如下：

1. 创建IAM角色并关联数据库用户 #

首先在AWS IAM中创建专用角色，仅允许该角色连接到目标数据库的指定用户：

• 编写IAM策略，限制角色仅能访问目标DB实例和对应数据库用户：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "rds-db:connect",
      "Resource": [
        "arn:aws:rds-db:us-east-1:123456789012:dbuser:db-instance-1/iam_target_db_user"
      ]
    }
  ]
}

• 在数据库中创建用户并关联IAM认证：
  • 对于PostgreSQL：

  CREATE USER iam_target_db_user WITH LOGIN;
  GRANT rds_iam TO iam_target_db_user;
  

  • 对于MySQL：

  CREATE USER 'iam_target_db_user'@'%' IDENTIFIED WITH AWSAuthenticationPlugin AS 'RDS';
  

2. 配置数据库级权限 #

给上述数据库用户授予目标数据库的专属权限，拒绝其访问其他数据库：

• 对于PostgreSQL：

-- 允许连接目标数据库
GRANT CONNECT ON DATABASE target_db TO iam_target_db_user;
-- 授予目标数据库内的操作权限（按需调整，比如仅SELECT）
GRANT USAGE ON SCHEMA target_schema TO iam_target_db_user;
GRANT SELECT ON ALL TABLES IN SCHEMA target_schema TO iam_target_db_user;
-- 拒绝访问其他数据库
REVOKE CONNECT ON DATABASE other_db FROM iam_target_db_user;

• 对于MySQL：

-- 授予目标数据库的全量或指定权限
GRANT SELECT, INSERT ON target_db.* TO 'iam_target_db_user'@'%';
-- 撤销其他数据库的权限（默认新用户无跨DB权限，可省略）
REVOKE ALL PRIVILEGES ON other_db.* FROM 'iam_target_db_user'@'%';

3. 验证访问控制 #

使用IAM认证令牌连接数据库后，尝试访问非授权数据库会被拒绝：

• PostgreSQL中执行\c other_db会返回FATAL: permission denied for database "other_db"
• MySQL中执行USE other_db;会返回ERROR 1044 (42000): Access denied for user 'iam_target_db_user'@'%' to database 'other_db'

这种方案通过IAM确保只有指定角色能映射到专属数据库用户，再通过数据库自身权限系统严格限制用户的数据库访问范围，比“授权所有Schema”的方式更安全，真正实现了数据库级别的访问隔离。

内容的提问来源于stack exchange，提问作者Chaitanya Chitturi