Uma empresa usa funções AWS Lambda que devem se conectar a uma instância de banco de dados Microsoft SQL Server no Amazon RDS. Existem ambientes de desenvolvimento e produção separados; os desenvolvedores podem acessar as credenciais de desenvolvimento, mas as credenciais de produção devem ser criptografadas usando uma chave que apenas os membros do grupo IAM da equipe de segurança de TI podem usar. A chave deve ser rotacionada regularmente. O que um arquiteto de soluções deve implementar no ambiente de produção para satisfazer esses requisitos?

A opção correta é armazenar as credenciais no AWS Secrets Manager. Ele é projetado especificamente para gerenciar, recuperar e rotacionar segredos de forma segura, o que atende ao requisito de rotação regular e à necessidade de criptografia com uma chave KMS gerenciada pelo cliente. As funções Lambda podem recuperar as credenciais em tempo de execução usando um perfil IAM. O Secrets Manager também permite restringir o acesso ao segredo e à chave KMS apenas à equipe de segurança de TI. As outras opções são menos adequadas: Armazenar no AWS Systems Manager Parameter Store com SecureString não oferece rotação automática de credenciais. Usar variáveis de ambiente do Lambda, mesmo criptografadas, não é a melhor prática para segredos de banco de dados, especialmente sem rotação automática. A chave Lambda padrão não atende ao requisito de uma chave que apenas a equipe de segurança de TI possa usar.