我们如何安全地将数据库的用户凭证发送给用户？

Question

更好的方法是通过 Teams 将其发送给用户，但 team webhook 允许我们仅将其发送到组/频道。 .

如果我们在 AWS 中使用机密管理器，则需要根据每个用户的机密 arn 创建单独的 IAM 策略。

我尝试探索 Microsoft Purview 和 AWS 机密管理器。 Microsoft Purview 看起来很简单，但我想以自动化的方式完成。

除了这些，是否有任何最佳实践可以将它们发送给用户

Answer 1

根据您的使用案例，您可以实施一种访问模式，避免为 AWS RDS 数据库颁发固定凭证，并避免许多不安全凭证管理的常见陷阱。

在较高级别上，您可以将单个 IAM 数据库身份验证角色分配给通过组成员身份登录您的 AWS 账户的用户。这些用户将通过与您的身份提供商集成的 IAM Identity Center（例如 Microsoft Entra ID）进行配置，因为您使用的是 Teams。

所有人需要做的就是

aws sso login

到他们的帐户，然后您的用户可以利用这些凭据来

以代码或命令行登录到数据库。无需在 AWS 中/从 AWS 存储额外的凭证。

一些先决条件：

需要在身份提供商中定义组，然后与 AWS IAM Identity Center 集成
需要为您的数据库创建适当的 IAM 角色 - 数据库是否存储敏感数据？人们工作所需的最低权限是什么？他们需要定期访问数据库吗？
需要确定您是否使用符合条件的数据库进行 IAM 数据库身份验证（MariaDB、MySQL 或 PostgreSQL）