Ein CloudFormation-Template stellt eine Amazon Linux EC2-Instance und einen Amazon Aurora-Cluster bereit und enthält ein fest codiertes Datenbankpasswort, das alle 90 Tage rotiert werden muss. Welches ist die sicherste Methode, um dieses Datenbankpasswort zu verwalten und zu rotieren?

Die Deklaration eines AWS::SecretsManager::Secret mit GenerateSecretString ermöglicht die automatische Generierung eines sicheren Passworts. Das Hinzufügen eines AWS::SecretsManager::RotationSchedule automatisiert die Rotation des Passworts, was die Sicherheitsanforderungen erfüllt und manuellen Aufwand reduziert. Die Anwendung ruft das Secret dann sicher von Secrets Manager ab. Die Option, ein AWS::SecretsManager::Secret mit SecretString und einem CloudFormation-Parameter zu verwenden, erfordert weiterhin die manuelle Eingabe des Passworts und bietet keine automatische Rotation. Die Verwendung von AWS::SSM::Parameter, selbst als SecureString, bietet keine integrierte automatische Rotation für Datenbankpasswörter. Das Speichern des Passworts als Klartext in AWS::SSM::Parameter ist eine unsichere Praxis und sollte vermieden werden.