问如何保护备份脚本，使我不必硬编码密码？

EN

您是否尝试过AWS秘密管理器(或参数存储)。它正是为了这个目的而建造的。

为备份过程创建一个独立的IAM角色，并授予所需的IAM角色的EC2实例。然后修改脚本以调用Secrets以获取凭据，并且除了在运行过程的内存中以外，不要存储这些凭据。(即，一旦过程是一个过程，就清除它)。

在后台，EC2实例将有一个元数据实例，该元数据实例发出标记，脚本可以使用这些令牌来调用Secrets。一旦它能够调用机密管理器，它就可以获得调用DB的实际db凭据。更深层次的是，元数据服务只为IAM角色发出临时令牌，这使得这种方法更好。

更老的-skool方法是为IAM角色生成API键，并将这些凭据硬编码到EC2的~/..aws/凭据位置。然后，AWS将使用它来调用具有相同概念的AWS秘密管理器。

最终，概念是相同的，使用API键调用返回实际使用凭据的API。该API调用将被记录(cloudtrail)，并且只返回调用所需的凭据。