Mehrere Lambda-Funktionen konsumieren Nachrichten von einem SNS-Thema und schreiben in eine Amazon Aurora-Datenbank. Die Unternehmensrichtlinie schreibt vor, dass alle Lambdas eine einzige, sicher verschlüsselte Datenbank-Verbindungszeichenfolge verwenden. Welche Lösung erfüllt diese Anforderung?

Das Speichern der Datenbank-Anmeldeinformationen im AWS Systems Manager Parameter Store als SecureString-Parameter ist die empfohlene und sicherste Methode. SecureString-Parameter werden mit AWS KMS verschlüsselt, was eine sichere Speicherung und Abfrage der sensiblen Daten gewährleistet. Lambda-Funktionen können diese Parameter über das AWS SDK abrufen, ohne die Anmeldeinformationen direkt im Code oder als Umgebungsvariablen zu hinterlegen. IAM-Datenbankauthentifizierung ist zwar sicher, aber nicht für alle Datenbanktypen verfügbar und erfordert eine spezifische Konfiguration, die möglicherweise nicht die "einzige Verbindungszeichenfolge"-Anforderung erfüllt, da sie eher auf temporäre Anmeldeinformationen abzielt. Das Speichern von Anmeldeinformationen in einer anderen RDS-Instanz ist unsicher und fügt unnötige Komplexität hinzu. Lambda-Umgebungsvariablen, selbst wenn sie mit KMS verschlüsselt sind, sind weniger flexibel für die zentrale Verwaltung und Rotation von Anmeldeinformationen über mehrere Funktionen hinweg als der Parameter Store.