Um estágio do CodeBuild em um pipeline de implantação precisa de credenciais de banco de dados para executar testes de integração. A política da empresa exige a rotação automática de todas as credenciais de banco de dados. Qual método fornece credenciais rotativas com segurança para a compilação com o menor overhead operacional?

A opção correta é usar o AWS Secrets Manager. Ele é projetado para armazenar e gerenciar segredos, incluindo credenciais de banco de dados, e oferece rotação automática integrada. O CodeBuild pode acessar esses segredos de forma segura através de variáveis de ambiente configuradas no buildspec.yml, minimizando o overhead operacional e aderindo à política de segurança. Codificar credenciais no buildspec.yml é uma prática insegura, mesmo com rotação via Lambda, pois expõe o segredo no controle de versão. Usar um parâmetro SecureString do Systems Manager com rotação automática não é uma funcionalidade nativa do Parameter Store; ele não oferece rotação automática de credenciais de forma nativa como o Secrets Manager. Fornecer credenciais em texto simples via variável de ambiente é uma grave falha de segurança, e a rotação via EventBridge seria complexa e não tão segura quanto o Secrets Manager.