// RDSインスタンス (PostgreSQL 15, IAM認証有効)
    const dbInstance = new rds.DatabaseInstance(this, 'PostgresInstance', {
      engine: rds.DatabaseInstanceEngine.postgres({
        version: rds.PostgresEngineVersion.VER_15,
      }),
      instanceType: ec2.InstanceType.of(ec2.InstanceClass.T3, ec2.InstanceSize.MICRO),
      vpc,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      },
      securityGroups: [rdsSecurityGroup],
      multiAz: false,
      allocatedStorage: 20,
      maxAllocatedStorage: 100,
      databaseName: 'verificationdb',
      credentials: rds.Credentials.fromGeneratedSecret('postgres'), // ユーザー作成時に使用
      iamAuthentication: true, // IAM認証を有効化
      removalPolicy: cdk.RemovalPolicy.DESTROY,
    });

    // RDS Proxy (エンドツーエンドIAM認証) - L1コンストラクトを使用
    const cfnProxy = new rds.CfnDBProxy(this, 'RdsProxy', {
      dbProxyName: 'verification-rds-proxy',
      engineFamily: 'POSTGRESQL',
      defaultAuthScheme: 'IAM_AUTH', // エンドツーエンドIAM認証を有効化
      roleArn: proxyRole.roleArn,
      vpcSubnetIds: vpc.selectSubnets({
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      }).subnetIds,
      vpcSecurityGroupIds: [proxySecurityGroup.securityGroupId],
      requireTls: true, // IAM認証ではTLSの有効化が必須
    });

    // RDS Proxy用のIAMロール
    const proxyRole = new iam.Role(this, 'RdsProxyRole', {
      assumedBy: new iam.ServicePrincipal('rds.amazonaws.com'),
      description: 'Role for RDS Proxy to access RDS with end-to-end IAM auth',
    });

    // RDS ProxyにRDSへのIAM認証権限を付与 (エンドツーエンドIAM認証に必要)
    proxyRole.addToPolicy(new iam.PolicyStatement({
      actions: ['rds-db:connect'],
      resources: [
        // エンドツーエンドIAM認証では、利用するDBユーザーごとに rds-db:connect が必要。
        // 追加ユーザー(hogeiam 等)を想定して、対象DB(=resourceId)配下をワイルドカード許可。
        `arn:aws:rds-db:${this.region}:${this.account}:dbuser:${cdk.Token.asString(dbInstance.instanceResourceId)}/*`
      ],
    }));

    // Proxyエンドポイントを取得
    const proxyEndpoint = cfnProxy.attrEndpoint;

    // ProxyのARNからリソースIDを抽出 (arn:aws:rds:region:account:db-proxy:prx-XXXXX)
    const proxyResourceId = cdk.Fn.select(6, cdk.Fn.split(':', cfnProxy.attrDbProxyArn));

    // Lambda実行ロール
    const lambdaRole = new iam.Role(this, 'LambdaExecutionRole', {
      assumedBy: new iam.ServicePrincipal('lambda.amazonaws.com'),
      managedPolicies: [
        iam.ManagedPolicy.fromAwsManagedPolicyName('service-role/AWSLambdaVPCAccessExecutionRole'),
      ],
    });

    // LambdaにRDS Proxy経由でRDSへのIAM認証権限を付与
    lambdaRole.addToPolicy(new iam.PolicyStatement({
      actions: ['rds-db:connect'],
      resources: [
        // RDS Proxy経由の接続では、ProxyのリソースID (prx-XXXXX) を指定
        `arn:aws:rds-db:${this.region}:${this.account}:dbuser:${proxyResourceId}/*`
      ],
    }));

-- IAM認証用ユーザーを作成

CREATE USER iam_user;

-- rds_iamロールを付与(IAM認証に必須)

GRANT rds_iam TO iam_user;

-- データベース接続権限を付与

GRANT CONNECT ON DATABASE verificationdb TO iam_user;

import os
import json
import boto3
import psycopg2

# 環境変数から接続情報を取得
proxy_endpoint = os.environ['DB_PROXY_ENDPOINT']
port = os.environ['DB_PORT']
db_name = os.environ['DB_NAME']
db_user = os.environ['DB_USER']
region = os.environ['AWS_REGION']
rds_client = boto3.client('rds', region_name=region)

def handler(event, context):
    
    try:
        # RDS IAM認証トークンを生成
        auth_token = rds_client.generate_db_auth_token(
            DBHostname=proxy_endpoint,
            Port=port,
            DBUsername=db_user,
            Region=region
        )
                
        # RDS Proxy経由でPostgreSQLに接続
        connection = psycopg2.connect(
            host=proxy_endpoint,
            port=port,
            database=db_name,
            user=db_user,
            password=auth_token,
            sslmode='require',
            connect_timeout=10
        )

...