Đã đăng vào khoảng 7 giờ trước 4 phút đọc

Amazon Aurora MySQL Bài 36: Quản lý quyền hạn chi tiết với Database IAM Authentication

Trong các mô hình bảo mật hiện đại của điện toán đám mây, việc quản lý và lưu trữ mật khẩu tĩnh (Static Passwords) trong các tệp cấu hình ứng dụng (như file .env hay config file) luôn tiềm ẩn rủi ro bị lộ lọt (credential leakage) nếu hệ thống bị tấn công.

Bài viết này sẽ mổ xẻ cách sử dụng AWS IAM Database Authentication để kết nối vào Aurora MySQL hoàn toàn không cần mật khẩu tĩnh.

1. Cơ chế hoạt động của IAM Database Authentication

Thay vì sử dụng username và password truyền thống, cơ chế xác thực IAM hoạt động dựa trên các IAM Tokens ngắn hạn được ký số bằng mã khóa AWS IAM:

Ứng dụng xin Token: Ứng dụng backend (hoặc AWS SDK chạy trong code) gọi AWS Security Token Service (STS) để yêu cầu cấp một Auth Token ngắn hạn dựa trên quyền IAM Role mà container/instance đang sở hữu. Token này có thời hạn sống rất ngắn (chỉ khoảng 15 phút).
Kết nối vào Aurora: Ứng dụng sử dụng Token này làm "mật khẩu" để gửi yêu cầu kết nối vào Aurora MySQL.
Xác thực tự động: Aurora MySQL tự động kiểm tra chữ ký số của token với dịch vụ IAM của AWS. Nếu hợp lệ, kết nối được chấp thuận mà không cần cơ sở dữ liệu phải lưu trữ hay đối chiếu bất kỳ bảng mật khẩu nào.

2. Ưu điểm vượt trội so với mật khẩu truyền thống

Loại bỏ hoàn toàn mật khẩu tĩnh: Không còn tình trạng lưu mật khẩu database trong tệp .env hay hardcode trong mã nguồn, triệt tiêu rủi ro lộ lọt khi nhân viên cũ nghỉ việc hoặc tệp cấu hình bị đẩy nhầm lên công khai trên GitHub.
Tự động xoay vòng quyền hạn (Automatic Credential Rotation): Vì token được cấp phát động thông qua IAM Role và AWS Secrets Manager, bạn có thể dễ dàng thu hồi hoặc thay đổi quyền hạn của ứng dụng ngay trên AWS Console mà không cần phải restart lại ứng dụng backend.
Tuân thủ tiêu chuẩn bảo mật cao: Phù hợp với các hệ thống tài chính, ngân hàng yêu cầu khắt khe về quản lý định danh và phân quyền (Identity and Access Management - IAM).

3. Cách cấu hình IAM Authentication thực tế

Để kích hoạt tính năng này trên Aurora MySQL, bạn cần thực hiện qua 2 bước chính:

Bước 1: Bật IAM Database Authentication trên Aurora Cluster

Khi khởi tạo cụm Aurora hoặc thông qua Parameter Group / Terraform, bật cờ xác thực IAM:

Terraform

resource "aws_rds_cluster" "aurora_iam_auth" {
  cluster_identifier          - "hieu-aurora-iam-cluster"
  engine                      - "aurora-mysql"
  enable_iam_database_authentication - true # Bật tính năng IAM Auth
  # ... các cấu hình khác
}

Bước 2: Tạo User trong MySQL tương ứng với IAM Role

Truy cập vào cơ sở dữ liệu Aurora với quyền admin và chạy câu lệnh gán quyền cho IAM user/role:

SQL

-- Tạo user định danh bằng plugin AWSAuthenticationPlugin
CREATE USER 'app_backend_user' IDENTIFIED WITH 
  aws_authentication_plugin AS 'AWS';

-- Cấp quyền truy cập cơ sở dữ liệu cho user đó
GRANT SELECT, INSERT, UPDATE ON hieu_ecommerce.* TO 'app_backend_user';
FLUSH PRIVILEGES;

4. Góc nhìn vận hành cho Backend Engineer

Lưu ý về thư viện kết nối (Database Driver): Không phải tất cả các driver cũ đều hỗ trợ tự động sinh IAM Token. Khi viết code backend (như Go, PHP, hay Node.js), bạn cần sử dụng AWS SDK để chủ động gọi hàm sinh token kết nối, hoặc sử dụng các thư viện hỗ trợ sẵn RDS IAM Auth.
Giới hạn kết nối đồng thời: Do việc sinh token liên tục thông qua AWS STS có thể tạo ra overhead nhỏ nếu ứng dụng không tái sử dụng kết nối, việc kết hợp IAM Auth với AWS RDS Proxy (đã học ở Bài 26) là giải pháp tối ưu nhất để vừa bảo mật tuyệt đối vừa giữ hiệu năng kết nối cực cao.

amazon