Muitas funções Lambda em um aplicativo se conectam a um único banco de dados Amazon RDS. As credenciais do banco de dados devem ser armazenadas com segurança e, quando as credenciais forem atualizadas, as funções Lambda devem ser capazes de usar as novas credenciais sem alterar o código ou a configuração. Qual solução atende a esses requisitos?

A solução correta é armazenar as credenciais no AWS Secrets Manager e fazer com que as funções Lambda as recuperem em tempo de execução. O Secrets Manager foi projetado especificamente para armazenar e gerenciar segredos, incluindo rotação automática e acesso seguro. As funções Lambda podem usar o SDK da AWS para buscar as credenciais mais recentes, garantindo que sempre utilizem os dados atualizados sem exigir alterações no código ou na configuração. Armazenar credenciais como variáveis de ambiente, mesmo que injetadas do Secrets Manager, não é ideal porque as variáveis de ambiente não são atualizadas dinamicamente. Se o segredo for rotacionado, as funções Lambda precisarão ser reiniciadas para carregar as novas variáveis. O AWS Systems Manager Parameter Store pode armazenar SecureStrings, mas não oferece a mesma funcionalidade de rotação automática de credenciais que o Secrets Manager. Além disso, a ideia de um "gatilho" para passar credenciais para funções Lambda não é um padrão comum ou seguro para gerenciamento de segredos. Referenciar o parâmetro em uma variável de ambiente no Parameter Store tem a mesma limitação das variáveis de ambiente mencionada anteriormente.