Uma aplicação sendo executada no ECS Fargate por trás de um ALB armazena credenciais de banco de dados dentro da aplicação. A empresa deseja armazenar as credenciais de forma mais segura e habilitar a rotação periódica com o mínimo esforço operacional. Qual solução melhor atende a esses requisitos?

A opção correta é mover as credenciais para o AWS Secrets Manager. O Secrets Manager é projetado para armazenar, gerenciar e rotacionar segredos de forma segura, incluindo credenciais de banco de dados. Ele se integra nativamente com o AWS KMS para criptografia e oferece rotação automática de segredos, minimizando o esforço operacional. Conceder permissões IAM às tarefas do ECS Fargate para recuperar segredos do Secrets Manager garante que apenas as aplicações autorizadas possam acessá-los. As outras opções são menos adequadas: Mover os segredos para grupos de parâmetros do Amazon RDS não é o propósito principal desses grupos, que são para configurações de banco de dados, não para armazenamento seguro e rotação de credenciais de aplicação. O AWS Systems Manager Parameter Store pode armazenar segredos, mas o Secrets Manager oferece recursos mais avançados para gerenciamento de segredos, como rotação automática. A opção menciona "conceder acesso ao Secrets Manager" ao invés do Parameter Store, o que é inconsistente. Armazenar credenciais como variáveis de ambiente do ECS Fargate não é seguro, mesmo com criptografia KMS, pois elas podem ser inspecionadas e não oferecem rotação automática.