运维连库用临时令牌，长连接池用密钥轮换。先选型再改开关；策略绑 DbiResourceId，回滚是关认证而不是删管理员。
应用把数据库密码写进仓库、轮换一次全员改配置，是常见事故源。RDS / Aurora 原生支持 IAM 数据库认证：用当前 AWS 身份换一张 15 分钟 有效的令牌。它不是给连接池换皮——池和部分 JDBC 更适合 Secrets Manager。先决策，再 modify。
目录
- 一、决策树：IAM、密钥、还是两者都留
- 二、边界与限速
- 三、开工前只读盘点
运维连库用临时令牌，长连接池用密钥轮换。先选型再改开关；策略绑 DbiResourceId，回滚是关认证而不是删管理员。
应用把数据库密码写进仓库、轮换一次全员改配置，是常见事故源。RDS / Aurora 原生支持 IAM 数据库认证：用当前 AWS 身份换一张 15 分钟 有效的令牌。它不是给连接池换皮——池和部分 JDBC 更适合 Secrets Manager。先决策，再 modify。
