Uma empresa precisa fornecer credenciais de banco de dados seguras e criptografadas em repouso, com rotação agendada para seus bancos de dados hospedados na AWS (Amazon RDS, Amazon DocumentDB e Amazon Aurora). Qual solução atende a esses requisitos de segurança e rotação da forma mais segura?

A opção correta é usar o AWS Secrets Manager. Ele foi projetado especificamente para armazenar, gerenciar e rotacionar credenciais de banco de dados e outras chaves secretas de forma segura. O Secrets Manager criptografa os segredos em repouso e em trânsito, e permite a rotação automática usando funções Lambda pré-configuradas (blueprints como o SecretsManagerRotationTemplate), atendendo a todos os requisitos de segurança e rotação agendada para RDS, DocumentDB e Aurora. As outras opções são menos seguras ou não atendem a todos os requisitos: A autenticação de banco de dados do IAM é ótima para autenticação, mas não gerencia a rotação de credenciais de banco de dados tradicionais (usuário/senha) para as aplicações. O AWS Systems Manager Parameter Store (com SecureString) armazena credenciais criptografadas, mas não oferece rotação automática nativa para credenciais de banco de dados. Armazenar credenciais no Amazon S3, mesmo criptografadas, não é a melhor prática para segredos de banco de dados e não oferece um mecanismo de rotação agendada integrado para essas credenciais.