Rotation des secrets RDS dans AWS avec des connexions ouvertes

Si vous modifiez le mot de passe d'un compte utilisateur, les utilisateurs seront exclus de la base de données jusqu'à ce qu'ils récupèrent le nouveau mot de passe.

Une stratégie courante consiste à avoir deux comptes utilisateur (utilisateur1 et utilisateur2) et à alterner leurs mots de passe selon un calendrier échelonné. Les informations d'identification de l'utilisateur1 continueront de fonctionner pendant que les clients détectent l'utilisateur2 et commencent à l'utiliser. Notez que pour que cela soit efficace, les clients devront vérifier périodiquement les informations d'identification mises à jour.

https://docs.aws. amazon.com/secretsmanager/latest/userguide/rotating-secrets-two-users.html

La plupart des bases de données, y compris toutes les bases de données dans RDS, ne fermeront pas les sessions / connexions lorsque vous modifiez un mot de passe (par exemple, consultez ceci réponse pour oracle ). La fin des sessions nécessite des commandes de terminaison explicites.

Si vous utilisez Java et un gestionnaire de pool de connexions, vous pouvez utiliser l'AWS fourni JDBC wrapper pour récupérer automatiquement le dernier mot de passe lorsque vos connexions doivent être rétablies.

Je peux tester ceci en:

• Lancer une instance MySQL RDS
• Stockage du mot de passe principal dans Secrets Manager
• Configuration de la rotation mono-utilisateur via la console
• Connectez-vous à la base de données avec l'interface de ligne de commande MySQL
• Vérifier la connexion avec une requête
• Gardez la connexion ouverte en démarrant un sous-shell depuis la CLI
• Vider le mot de passe actuel
• Lancez une rotation asynchrone et attendez un peu
• Vérifiez la rotation en supprimant le nouveau mot de passe
• Revenez à la connexion MySQL existante dans la CLI en quittant le sous-shell
• Exécuter une autre requête

    $ mysql -h testdb -Dmysql -u root -p$(aws --region us-east-2 secretsmanager get-secret-value --secret-id testdb-root --query SecretString --output text | jq -r '.password')
       ...
    mysql> select user from user;
    +-----------+
    | user      |
    +-----------+
    | root      |
    | mysql.sys |
    | rdsadmin  |
    +-----------+
    3 rows in set (0.05 sec)

    mysql> \! bash
    $ # Show current password
    $ aws --region us-east-2 secretsmanager get-secret-value --secret-id testdb-root --query SecretString --output text | jq -r '.password'
    3%c70'-e9s<Dy5ecX-(0mV%&E6Y[<jnJ
    $ aws --region us-east-2 secretsmanager rotate-secret --secret-id testdb-root
       ...
    $ sleep 60 # Give rotation time to complete
    $ aws --region us-east-2 secretsmanager get-secret-value --secret-id testdb-root --query SecretString --output text | jq -r '.password'
    .z,B{,P]jE~pr3?0mZ5H,6rJi;aXrQVO
    $ exit
    mysql> select user from user;
    +-----------+
    | user      |
    +-----------+
    | root      |
    | mysql.sys |
    | rdsadmin  |
    +-----------+
    3 rows in set (0.05 sec)

Depuis la documentation de Secret Manager: < / p>

Secrets Manager peut automatiquement faire pivoter votre secret pour vous selon un calendrier spécifié. Vous pouvez faire pivoter les informations d'identification sans interrompre le service si vous choisissez de stocker un ensemble complet d'informations d'identification pour un utilisateur ou un compte, au lieu du mot de passe uniquement. Si vous modifiez ou modifiez uniquement le mot de passe, l'ancien mot de passe devient immédiatement obsolète et les clients doivent immédiatement commencer à utiliser le nouveau mot de passe ou échouer. Si vous pouvez à la place créer un nouvel utilisateur avec un nouveau mot de passe, ou au moins alterner entre deux utilisateurs, alors l'ancien utilisateur et le mot de passe peuvent continuer à fonctionner côte à côte avec le nouveau, jusqu'à ce que vous choisissiez de désapprouver l'ancien. Cela vous donne une fenêtre de temps pendant laquelle tous vos clients peuvent continuer à travailler pendant que vous testez et validez les nouvelles informations d'identification. Une fois que vos nouvelles informations d'identification ont réussi le test, vous engagez tous vos clients à utiliser les nouvelles informations d'identification et à supprimer les anciennes informations d'identification.