Uma empresa executa um aplicativo de pagamento em instâncias Amazon EC2 atrás de um Application Load Balancer. As instâncias EC2 estão em um grupo do Auto Scaling em várias Zonas de Disponibilidade. O aplicativo deve recuperar segredos na inicialização e exportá-los como variáveis de ambiente. Os segredos devem ser criptografados em repouso e rotacionados mensalmente. Qual solução atende a esses requisitos com o menor esforço de desenvolvimento?

A opção correta é armazenar os segredos no AWS Secrets Manager. O Secrets Manager é projetado especificamente para gerenciar segredos, oferecendo criptografia em repouso com chaves KMS gerenciadas pelo cliente e rotação automática integrada, atendendo diretamente aos requisitos de segurança e rotação. Usar um script de dados de usuário do EC2 para recuperar os segredos na inicialização é uma prática comum e eficiente para injetar segredos no ambiente da instância. As outras opções são menos ideais: Armazenar segredos em um arquivo de texto no S3 com S3 Object Lambda para rotação é mais complexo e menos seguro do que o Secrets Manager, além de não ser a finalidade principal do S3 para gerenciamento de segredos. O Systems Manager Parameter Store pode armazenar segredos, mas a rotação mensal exigiria uma função Lambda personalizada, adicionando complexidade em comparação com a rotação automática do Secrets Manager. Incorporar segredos como variáveis de ambiente codificadas em base64 nas propriedades do aplicativo é uma prática insegura, pois os segredos ficam expostos no código ou configuração e a rotação manual é propensa a erros e exige esforço de desenvolvimento contínuo.