Quatro funções Lambda se conectam a um banco de dados relacional Amazon RDS. A equipe de segurança exige que a senha do banco de dados seja rotacionada automaticamente a cada 30 dias. Qual solução é a maneira mais segura de atender a esse requisito?

A solução mais segura é usar o AWS Secrets Manager. Ele foi projetado especificamente para armazenar, gerenciar e rotacionar credenciais de forma segura, incluindo senhas de banco de dados, com rotação automática configurável. As funções Lambda podem recuperar as credenciais em tempo de execução, sem a necessidade de reimplantar o código. Armazenar credenciais em variáveis de ambiente do Lambda não é seguro, pois elas podem ser acessadas por usuários com permissões de visualização da configuração da função e exigiria reimplantar as funções a cada rotação. O Systems Manager Parameter Store pode armazenar SecureStrings, mas não oferece rotação automática nativa para senhas de banco de dados, exigindo uma solução personalizada. Armazenar credenciais em um objeto S3 criptografado com SSE-C é menos ideal para rotação automática de senhas de banco de dados e gerenciamento de acesso dinâmico para funções Lambda.