Uma empresa tem uma função Node.js em um servidor on-premises que usa um banco de dados PostgreSQL e armazena a string de conexão em uma variável de ambiente. A empresa migrará o aplicativo para o AWS Lambda, migrará o banco de dados para o Amazon RDS for PostgreSQL e gerenciará as credenciais do banco de dados com segurança e com o mínimo de sobrecarga operacional. Qual solução atende a esses requisitos?

A solução correta é usar o AWS Secrets Manager porque ele foi projetado especificamente para armazenar, gerenciar e rotacionar credenciais de banco de dados, chaves de API e outros segredos com segurança. Ele oferece rotação automática integrada, o que atende ao requisito de mínima sobrecarga operacional. A função Lambda pode recuperar as credenciais do Secrets Manager em tempo de execução. Armazenar no AWS Systems Manager Parameter Store é possível, mas o Secrets Manager é a melhor prática para credenciais de banco de dados devido aos seus recursos de rotação de segredos. O Parameter Store não oferece rotação automática para credenciais de banco de dados. Armazenar como variável de ambiente Lambda criptografada não é ideal porque exige uma função Lambda personalizada para rotação, aumentando a sobrecarga operacional. Armazenar como chave no AWS Key Management Service (AWS KMS) não é apropriado. O KMS é um serviço de gerenciamento de chaves criptográficas, não um repositório para armazenar credenciais diretamente. Ele pode ser usado para criptografar segredos, mas não para armazená-los ou rotacioná-los.