Uma aplicação serverless deve armazenar chaves de API confidenciais como variáveis de ambiente e requer rotação anual automática das chaves de criptografia. A empresa deseja uma solução que não exija esforço de desenvolvimento de aplicação. Qual opção atende a essas necessidades?

A opção correta é armazenar e criptografar as variáveis de ambiente no AWS Secrets Manager e habilitar a rotação automática. O Secrets Manager foi projetado especificamente para gerenciar segredos confidenciais, como chaves de API, e oferece rotação automática integrada sem a necessidade de esforço de desenvolvimento adicional. As outras opções são incorretas porque: Criptografar as variáveis de ambiente com uma chave KMS gerenciada pelo cliente e habilitar a rotação automática da chave KMS não resolve o armazenamento seguro das variáveis de ambiente em si, apenas a chave de criptografia. Além disso, a rotação da chave KMS não rotaciona o segredo armazenado. Criptografar as variáveis de ambiente usando chaves KMS gerenciadas pela AWS e criar uma função Lambda para rotacionar as chaves automaticamente exigiria esforço de desenvolvimento para a função Lambda, o que vai contra o requisito de "não exigir esforço de desenvolvimento de aplicação". Armazenar e criptografar as variáveis de ambiente no AWS Systems Manager Parameter Store e habilitar a rotação automática no Parameter Store está incorreto porque o Parameter Store não oferece rotação automática de segredos, apenas de chaves KMS usadas para criptografar os parâmetros.