通過VPC更安全的訪問RDS PostgreSQL資料庫 - Function Compute

您可以參考本文提供的Function Compute訪問ApsaraDB RDS for PostgreSQL的操作指導，在函數中配置VPC相關資源，然後設定資料庫白名單，通過VPC實現資料的訪問和操作。本文以Python 3為例，介紹如何使用Serverless Devs部署函數來訪問ApsaraDB RDS for PostgreSQL。

前提條件

快速建立RDS PostgreSQL執行個體
重要
- 請確保您所建立的資料庫執行個體與需要訪問該資料庫執行個體的函數在同一地區。
- 建議您在Function Compute支援的可用性區域建立資料庫執行個體。更多資訊，請參見Function Compute支援的可用性區域。
  如果您的資料庫執行個體不在Function Compute支援的可用性區域內，可以通過在您的VPC環境中建立一個與Function Compute相同可用性區域的vSwitch，並在函數的VPC配置中設定此vSwitch ID。由於同一VPC內不同vSwitch之間私網互連，因此Function Compute可以通過該vSwitch訪問在其他可用性區域的VPC內的資源。具體步驟，請參見遇到vSwitch is in unsupported zone的錯誤怎麼辦？。
建立名為COMPANY的表，並插入ID、NAME、AGE、ADDRESS和SALARY列。
本文中index.py範例程式碼中的代碼邏輯為向名為COMPANY的資料庫表插入一條資料，表的Schema包含ID、NAME、AGE、ADDRESS和SALARY列。因此，需要提前建立該表與相應列。

操作步驟

安裝Serverless Devs和Docker，並添加密鑰資訊。
具體操作，請參見快速入門和添加密鑰資訊。
執行以下命令初始化專案。
```
sudo s init
```
根據介面提示，依次選擇阿里雲廠商、快速建立模式和Python內建運行時，設定工程名稱以及選擇專案部署地區等，本文樣本為在杭州地區下部署start-fc-postgresql-python專案。
執行以下命令進入專案。
```
cd start-fc-postgresql-python
```

根據實際情況修改目錄檔案。

編輯s.yaml檔案，樣本如下。

edition: 3.0.0
name: hello-world-app
access: "default"

vars: # 全域變數
  region: "cn-hangzhou"

resources:
  hello_world:
    component: fc3 # 組件名稱
    props:
      region: ${vars.region}              # 關於變數的使用方法，可以參考：https://docs.serverless-devs.com/serverless-devs/yaml#%E5%8F%98%E9%87%8F%E8%B5%8B%E5%80%BC
      functionName: "start-python-erhg"
      description: 'hello world by serverless devs'
      runtime: "python3.9"
      code: ./code
      handler: index.handler
      memorySize: 128
      timeout: 30
      internetAccess: true
      vpcConfig:
        vpcId: vpc-bp11y195luy47h8cm****  # 資料庫執行個體所在的VPC ID
        securityGroupId: sg-bp1el3hto8hhkdup****  # 安全性群組ID
        vSwitchIds:
          - vsw-bp116uemmj7fniubi****  # 請確保該vSwitch對應的網段已配置到資料庫執行個體訪問白名單中
      environmentVariables:
        DATABASE: psql****
        HOST: pgm-bp1w1u08pc6m****.pg.rds.aliyuncs.com
        PORT: "5432"
        USER: z****
        PASSWORD: z****24

重要

請確保您為函數配置的交換器網段已添加到資料庫執行個體訪問白名單中。具體操作，請參見設定資料庫IP訪問白名單。

編輯index.py代碼檔案，樣本如下，代碼邏輯為向名稱為COMPANY的資料庫表中插入一條資料。

# -*- coding: utf-8 -*-
import logging
import psycopg2   # 需先安裝psycopg2庫
import os
import sys
logger = logging.getLogger()


# 建立資料庫連接
def getConnection():
    try:
        conn = psycopg2.connect(
            database=os.environ['DATABASE'],
            user=os.environ['USER'],
            password=os.environ['PASSWORD'],
            host=os.environ['HOST'],
            port=os.environ['PORT'],
        )
        return conn
    except Exception as e:
        logger.error(e)
        logger.error(
            "ERROR: Unexpected error: Could not connect to PostgreSQL instance.")
        raise Exception(str(e))


def handler(event, context):
    conn = getConnection()
    try:
        cur = conn.cursor()
        # 向COMPANY表中插入一行資料
        cur.execute("INSERT INTO COMPANY (ID,NAME,AGE,ADDRESS,SALARY) \
      VALUES (7, 'Paul', 32, 'California', 20000.00 )")
        conn.commit()
        return 'successfully'
    finally:
        # 關閉資料庫連結
        conn.close()

執行以下命令構建專案。
```
sudo s build --use-docker
```
執行以下命令部署專案。
```
sudo s deploy -y
```

執行以下命令調用函數。

sudo s invoke -e "{}"

預期輸出如下：

========= FC invoke Logs begin =========
FunctionCompute python3 runtime inited.
FC Invoke Start RequestId: 1-65d47954-1589bf20-c06837b09c3c
FC Invoke End RequestId: 1-65d47954-1589bf20-c06837b09c3c

Duration: 76.43 ms, Billed Duration: 77 ms, Memory Size: 128 MB, Max Memory Used: 12.83 MB
========= FC invoke Logs end =========

Invoke instanceId: c-65d4794d-15f440b6-88291569b9e7
Code Checksum: 2023398494764556055
Qualifier: LATEST
RequestId: 1-65d47954-1589bf20-c06837b09c3c

Invoke Result:
successfully
✔ [hello_world] completed (0.38s)

執行成功後，您可以登入資料庫查看剛才插入的資料。具體步驟，請參見串連PostgreSQL執行個體。

設定資料庫IP訪問白名單

重要

請使用設定IP地址白名單方式授權函數訪問資料庫，請勿使用安全性群組方式。否則，可能導致函數偶爾串連不上資料庫的情況，影響業務正常運行。

訪問RDS執行個體列表，在上方選擇地區，然後單擊目標執行個體ID。
在左側導覽列單擊白名單與安全性群組。
在白名單設定頁面，可查看當前的IP白名單模式。
說明
較早建立的執行個體可能採用高安全模式。新建立的執行個體都採用通用白名單模式。
在預設顯示的白名單設定頁簽，找到default白名單分組，在其右側，單擊修改。
在修改白名單分組對話方塊，將目標IP地址或IP位址區段加入組內白名單，然後單擊確定。
重要
此處填寫的IP地址，為在Function Compute服務的網路設定中添加的vSwitch的IP位址區段。您可以在服務的網路設定中，單擊配置的專用網路名稱跳轉到專用網路控制台擷取。

前提條件

操作步驟

設定資料庫IP訪問白名單

更多資訊