Django + AWS Secret Manager 密码轮换

Question

我有一个 Django 应用程序可以从 AWS Secret Manager 获取数据库 secret 。它包含所有数据库参数，如用户名、密码、主机、端口等。当我在 EC2 上启动 Django 应用程序时，它成功地从 secret 管理器检索 secret 并建立数据库连接。

现在的问题是我设置了 30 天的密码轮换策略。为了测试流量，目前我设置为1天。每次轮换密码时，我的 Django 应用程序都会失去数据库连接。因此，我必须手动重新启动应用程序以允许应用程序从 Secret Manager 获取新的数据库凭据。

有没有一种方法可以自动获取 secret ，而无需手动重启服务器？一种可能的方法是触发 AWS CodeDeploy 或类似服务，自动重启服务器。但是，如果我采用这种方法，将会有一些停机时间。

可以在不停机的情况下无缝工作的任何其他方法。

Answer 1

如果旧的数据库凭据在轮换期间立即失效，那么在不停机的情况下可能很难做到这一点。一种选择是让您的应用程序捕获凭据错误并(尝试)在此时从 Secrets Manager 获取新 secret ，从而创建新的数据库连接。另一个选择是拥有两个有效的用户/密码对，在创建新的时保留旧的有效。我不确定自动轮换是否为您提供了此选项。然后您可以根据需要重新启动您的应用程序。要在没有短暂中断的情况下做到这一点，可能需要一个负载平衡器和多个运行的应用程序实例，这样您就可以在终止旧的之前用新的凭据启动一个。