Ein Entwickler verwaltet viele Secrets im AWS Secrets Manager, die von mehreren Anwendungen verwendet werden. Im Laufe der Zeit werden einige Secrets rotiert oder nicht mehr verwendet. Der Entwickler muss ermitteln, welche Secrets Manager-Secrets derzeit von Anwendungen verwendet werden, ohne Ausfallzeiten zu verursachen. Welchen Ansatz sollte der Entwickler wählen?

Die AWS Config-Regel secretsmanager-secret-unused ist speziell dafür konzipiert, Secrets zu identifizieren, die über einen bestimmten Zeitraum (standardmäßig 90 Tage) nicht aufgerufen wurden. Dies ist der direkteste und effizienteste Weg, um ungenutzte Secrets zu erkennen, ohne die Anwendungen zu beeinträchtigen. Eine EventBridge-Regel kann dann Benachrichtigungen senden, sobald diese Regel Verstöße feststellt. Die Überwachung von GetSecretValue-Anfragen über CloudTrail und CloudWatch würde zwar die Nutzung anzeigen, erfordert aber eine komplexere Analyse der Protokolle, um ungenutzte Secrets zu identifizieren, und ist nicht so direkt wie die dedizierte Config-Regel. Das vorübergehende Deaktivieren von Secrets würde zu Ausfallzeiten führen, was vermieden werden soll. AWS X-Ray ist für die Nachverfolgung von Anwendungsanfragen und die Fehlerbehebung gedacht, nicht primär für die Identifizierung ungenutzter Secrets, und wäre für diese Aufgabe überdimensioniert und ineffizient.