Ein großes Unternehmen stellt eine Webanwendung auf EC2-Instances hinter einem ALB mit Auto Scaling über mehrere AZs hinweg bereit. Die Anwendung verwendet Amazon RDS für Oracle und DynamoDB, und es gibt Entwicklungs-, Test- und Produktionsumgebungen. Was ist die sicherste und flexibelste Methode, um Anmeldeinformationen während der Bereitstellung zu erhalten?

Die korrekte Antwort ist die sicherste und flexibelste Methode. EC2-Instance-Rollen bieten temporäre Anmeldeinformationen und folgen dem Prinzip der geringsten Rechte, wodurch das Risiko der Offenlegung von Langzeit-Zugriffsschlüsseln vermieden wird. AWS Secrets Manager ist der dedizierte Dienst zum sicheren Speichern und Verwalten von Datenbank-Anmeldeinformationen, API-Schlüsseln und anderen Geheimnissen. Er bietet Funktionen wie automatische Rotation, feingranulare Zugriffssteuerung und Audit-Protokollierung. Die Speicherung von Zugriffsschlüsseln in Systems Manager SecureString-Parametern ist zwar besser als Klartext, aber Instance-Rollen sind die bevorzugte Methode für AWS-API-Zugriff von EC2-Instances aus, da sie keine Schlüssel auf der Instance speichern müssen. Klartext-Parameter sind hochgradig unsicher. Das Bündeln von Passwörtern in Konfigurationsdateien, selbst wenn verschlüsselt, ist weniger sicher und flexibel als ein dedizierter Secrets-Management-Dienst wie AWS Secrets Manager, da es die Rotation erschwert und das Risiko der Offenlegung erhöht, wenn die Datei kompromittiert wird.