Uma empresa de manufatura usa uma instância RDS para inventário e tem várias funções Lambda que se conectam ao banco de dados usando credenciais codificadas. As credenciais nunca devem ser armazenadas em texto simples e devem ser rotacionadas a cada 30 dias. Qual solução oferece isso com o menor overhead operacional?

A opção correta é armazenar as credenciais no AWS Secrets Manager. O Secrets Manager foi projetado para gerenciar, recuperar e rotacionar credenciais de banco de dados, chaves de API e outros segredos. Ele oferece rotação automática de credenciais para bancos de dados suportados (como RDS) usando funções Lambda de rotação integradas, o que minimiza o sobrecarga operacional. As funções Lambda podem recuperar as credenciais do Secrets Manager em tempo de execução, garantindo que nunca estejam codificadas e sempre atualizadas. As outras opções são menos ideais: Armazenar senhas como variáveis de ambiente em cada Lambda é inseguro e difícil de gerenciar, especialmente a rotação manual em múltiplos Lambdas. Criptografar com KMS e armazenar como variável de ambiente ainda exige um Lambda personalizado para rotação e atualização de todas as variáveis de ambiente, aumentando a sobrecarga. Usar o Systems Manager Parameter Store como SecureString é uma melhoria em relação às variáveis de ambiente, mas não oferece rotação automática de credenciais de banco de dados como o Secrets Manager, exigindo um Lambda de rotação personalizado.