云计算之路-阿里云上：踩着RDS的2个坑

最近发现阿里云RDS管理控制台升级了，界面更好看了，操作也更方便了，但在美丽的外表下却藏着坑，不小心被我们睬着了。

8月31日下午，我们在RDS管理控制台中创建了一个新的数据库帐号，创建时选择了绑定多个数据库。

然后，这个新建帐户的状态显示为“创建中”，这时该新建帐户可以登录，但不能访问任何数据库。

过了2分多钟，帐户状态由“创建中”变为“激活”后，才可以正常访问所绑定的数据库。

之前我们很久没有在RDS进行帐户管理操作了，今天这样一个如此简单、如此常用的操作，我们根本没想到会出问题。

结果却在2分多钟内连踩2个坑，被坑得不轻！

第1个坑

在创建新帐号时所选择绑定的所有数据库，在这2分钟内，竟然都无法访问。已经绑定这些数据库的现有帐户访问时都被拒绝，错误信息如下：

The SELECT permission was denied on the object '', database '', schema 'dbo'.

由于创建时选择的数据库比较多，结果这个问题影响到了全站。非常之郁闷，自从使用数据库以来，从未遇到过这样的问题——创建新帐号竟然会影响到现有帐号。

后来进一步发现，实际的坑比这个还要深，修改任何一个现有帐户的数据库绑定，都会触发这个问题。而且修改的设置要过2分多钟才生效。

也就是说，在RDS中，只要涉及任何数据库帐户权限的变动，就会引发所涉及的数据库在短时间内不能正常访问，而且没有任何提示或警告。

我们向阿里云反馈后，他们已经确认这是一个bug，说会在9月底的下一个版本中修复。

我们的想法是：如此严重的bug，还要让用户等到9月底，24小时内修复才是负责任的做法！

第2个坑

创建新帐号竟然造成已有的数据库帐号的数据库绑定丢失，有的只剩下一个数据库绑定，有的少了一两个数据库绑定。

向阿里云反馈后，RDS的DBA查了才知道，当时我们迁移至RDS时，某些在SQL Server Management Studio中的操作造成了SQL Server中的帐号与RDS中的帐号不一致，在RDS创建新帐号时发现在SQL Server中有的帐号在RDS中没有，于是RDS就把这些帐号给干掉了。

阿里云说这么做是出于安全角度考虑，出于安全角度不给SA权限，我们可以忍。这地方又存在什么安全问题呢？况且，我们的RDS只有内网授权的IP才能访问。另外，即使必须要保持RDS与SQL Server数据库的帐号一致，那也应该以SQL Server中的帐号为准。因为RDS中的帐户即使全丢失，也不会影响数据库的正常访问；而数据库中的帐号只要少了一个，就可能影响到用户的正常应用。孰轻孰重？

坑后感言

如果在设计产品时，把保证用户应用的稳定性放在首要位置，就不会有这么多坑！如果敢把自己的核心应用放在自己的云上，也不会有这么多坑！

现在的状况就如生产汽车不考虑安全问题，等用户开车出了事故，才去针对性地解决安全问题；然后，那些准备买车的人看到汽车这么不安全，吓得都不敢买了。如果真是这样，就不会有今天的汽车工业。

更新：第1个坑在9月2日晚22:00左右被填平。