Ein Unternehmen betreibt eine Zahlungsanwendung auf Amazon EC2-Instances hinter einem Application Load Balancer. Die EC2-Instances befinden sich in einer Auto Scaling-Gruppe, die sich über mehrere Availability Zones erstreckt. Die Anwendung muss beim Start Secrets abrufen und diese als Umgebungsvariablen exportieren. Secrets müssen im Ruhezustand verschlüsselt und monatlich rotiert werden. Welche Lösung erfüllt diese Anforderungen mit dem geringsten Entwicklungsaufwand?

Die Speicherung von Secrets in AWS Secrets Manager mit einem kundenverwalteten KMS-Schlüssel erfüllt alle Anforderungen: Verschlüsselung im Ruhezustand, automatische monatliche Rotation und Abruf beim Start über ein EC2-Benutzerdatenskript. Dies ist die Lösung mit dem geringsten Entwicklungsaufwand, da Secrets Manager die Rotation und Verschlüsselung nativ verwaltet. Die Option mit S3 erfordert manuellen Rotationscode (S3 Object Lambda ist nicht für die Rotation von Secrets gedacht) und ist nicht die primäre Methode für die Speicherung von Anwendungskonfigurationen. Die Option mit Systems Manager Parameter Store bietet zwar Verschlüsselung, erfordert aber eine benutzerdefinierte Lambda-Funktion für die Rotation, was mehr Entwicklungsaufwand bedeutet als die integrierte Rotation von Secrets Manager. Das Einbetten von Secrets in Anwendungseigenschaften ist unsicher, da es die Secrets direkt im Code exponiert und keine automatische Rotation bietet.