Um requisito de conformidade exige que as senhas de administrador para instâncias de banco de dados RDS sejam rotacionadas pelo menos uma vez por ano. Qual abordagem atende a esse requisito com o menor overhead operacional?

A opção correta é armazenar as credenciais no AWS Secrets Manager e habilitar a rotação automática a cada 365 dias. O Secrets Manager é projetado especificamente para gerenciar e rotacionar segredos, incluindo senhas de banco de dados, com integração nativa ao RDS e suporte para rotação automática configurável, minimizando o overhead operacional. As outras opções são menos eficientes ou inadequadas: Colocar credenciais no grupo de parâmetros do RDS não é seguro e a rotação via gatilho de banco de dados é complexa e não é a finalidade principal de um gatilho. Armazenar credenciais em um bucket S3 privado requer lógica personalizada para rotação e não é a ferramenta ideal para gerenciamento de segredos. O Systems Manager Parameter Store pode armazenar strings seguras, mas não oferece rotação automática nativa para senhas de banco de dados RDS, exigindo scripts adicionais.