aws自動化進程使用的密碼加密

Question

我有一個自動創建一些AWS實例並在其上運行腳本的應用程序。

每個腳本嘗試連接到遠程數據庫的，我需要向公衆提供DNS主機名，DB密碼，DB用戶名，等等

什麼是最安全的方式來做到這一點，而不必存儲簡單的密碼？

而不冒冒險運行相同腳本的人能夠獲得這些憑據？

非常感謝

Answer 1

您可以使用AWS SSM service's Parameter Store：

參數存儲集中配置數據的管理 - 如密碼，許可證密鑰，或數據庫連接字符串 - 這 您經常引用在腳本，命令或其他自動化和配置工作流程中。通過用於管理 用戶訪問和對敏感數據（如 密碼）的高度加密的細粒度安全控制，參數存儲可提高您的託管實例的整體安全狀態 。參數存儲加密參數是 不支持在所有地區。

你會創建一個具有訪問存儲的參數值的IAM角色，並分配了角色，你是動態創建的EC2實例。然後，該腳本將能夠使用AWS SDK/CLI從參數存儲中檢索這些值。

---

或者，如果數據庫是RDS數據庫that supports IAM authentication（僅適用於MySQL和極光在這個時候），那麼你可以創建一個具有直接訪問數據庫的IAM角色，將該角色分配到EC2實例。