Um modelo do CloudFormation implanta uma instância Amazon Linux EC2, um cluster Amazon Aurora e inclui uma senha de banco de dados codificada que deve ser rotacionada a cada 90 dias. Qual é o método mais seguro para gerenciar e rotacionar essa senha de banco de dados?

A opção correta utiliza o AWS Secrets Manager, que é o serviço mais seguro e apropriado para gerenciar e rotacionar credenciais de banco de dados. Declarar um AWS::SecretsManager::Secret com GenerateSecretString permite que o Secrets Manager crie uma senha forte e aleatória automaticamente. Adicionar um AWS::SecretsManager::RotationSchedule configura a rotação automática da senha a cada 90 dias, atendendo ao requisito. O aplicativo deve então recuperar a senha do Secrets Manager em tempo de execução, garantindo que nunca precise armazenar a senha diretamente. As outras opções são menos seguras ou não atendem a todos os requisitos: Declarar um AWS::SecretsManager::Secret com SecretString e aceitar a senha como um parâmetro do CloudFormation ainda requer que a senha seja fornecida inicialmente, e não gera automaticamente nem rotaciona. Usar AWS::SSM::Parameter como SecureString no Parameter Store é uma opção para armazenar segredos, mas o Parameter Store não oferece rotação automática de senhas para bancos de dados como o Secrets Manager. Usar AWS::SSM::Parameter como uma string simples é a opção menos segura, pois a senha não estaria criptografada em repouso e não haveria rotação.