Um site estático de produção no S3 invoca um banco de dados Aurora PostgreSQL por meio de uma função Lambda. O site usa um alias do Lambda que aponta para uma versão específica da função. As credenciais do banco de dados devem ser rotacionadas a cada duas semanas, e as versões mais antigas do Lambda implantadas devem ser capazes de acessar as credenciais mais recentes. Qual solução satisfaz esses requisitos?

A opção correta é armazenar as credenciais no AWS Secrets Manager com rotação habilitada e fazer com que a função Lambda as recupere em tempo de execução. O Secrets Manager é projetado para gerenciar, armazenar e rotacionar credenciais de forma segura, atendendo ao requisito de rotação quinzenal. A recuperação em tempo de execução garante que todas as versões do Lambda, incluindo as mais antigas acessadas via alias, sempre obtenham as credenciais mais recentes. Incorporar as credenciais no código do Lambda é inseguro e exige reimplantar a função a cada rotação, o que é ineficiente e não escala. Armazenar em variáveis de ambiente do Lambda também exige atualização manual e reimplantar a função para que as versões antigas acessem as novas credenciais. O Systems Manager Parameter Store pode armazenar credenciais, mas não oferece rotação automática nativa para bancos de dados como o Aurora PostgreSQL, tornando o Secrets Manager a escolha superior para este caso de uso específico.