BlueSky Retail betreibt einen Aurora PostgreSQL-Cluster für seinen Bestellservice. Die Sicherheit erfordert eine automatische Rotation des Datenbankpassworts des Anwendungsbenutzers alle 30 Tage, ohne dem Anwendungsbenutzer ALTER USER-Berechtigungen zu erteilen oder die Master-Anmeldeinformationen Anwendungen zugänglich zu machen. Was ist die GEEIGNETSTE Lösung?

Die Multi-User-Rotation von AWS Secrets Manager ist die geeignetste Lösung, da sie speziell für dieses Szenario entwickelt wurde. Sie ermöglicht das Speichern von zwei Secrets: eines für den Anwendungsbenutzer und eines für einen Superuser. Der Superuser rotiert dann das Passwort des Anwendungsbenutzers, ohne dass die Anwendung selbst ALTER USER-Berechtigungen benötigt oder die Master-Anmeldeinformationen preisgegeben werden. Die IAM-Datenbankauthentifizierung ist zwar eine gute Option für die Authentifizierung, löst aber nicht die Anforderung der Passwortrotation für bestehende Anwendungsbenutzer. Die Verwendung von Systems Manager Parameter Store mit einer Lambda-Funktion wäre eine manuelle Implementierung der Rotation, die fehleranfälliger und komplexer ist als die integrierte Secrets Manager-Funktion. Die Single-User-Rotation des Master-Benutzers ist unsicher, da sie alle Dienste dazu zwingen würde, den hochprivilegierten Master-Benutzer zu verwenden.