Uma empresa implanta funções AWS Lambda que se conectam a um banco de dados Amazon RDS para PostgreSQL em ambientes de QA e produção. As credenciais não devem ser incorporadas no código da aplicação e as senhas do banco de dados devem ser rotacionadas automaticamente. Qual solução atende a esses requisitos?

A solução correta é usar o AWS Secrets Manager. Ele foi projetado especificamente para armazenar e gerenciar segredos, incluindo credenciais de banco de dados, e oferece rotação automática de senhas para bancos de dados como o Amazon RDS para PostgreSQL. Usar segredos separados para QA e produção garante isolamento e segurança adequados. Referenciar esses segredos como variáveis de ambiente nas funções Lambda é uma prática segura, pois as credenciais não são incorporadas ao código e são recuperadas em tempo de execução. Armazenar credenciais no AWS Systems Manager Parameter Store é uma opção para dados de configuração, mas não oferece rotação automática de senhas nativamente para bancos de dados. O AWS KMS é um serviço de gerenciamento de chaves de criptografia, não um repositório para credenciais, e não oferece rotação de senhas. Armazenar credenciais em buckets S3 é menos seguro e não oferece rotação automática de senhas, além de exigir lógica adicional para recuperação e validação.