BlueSky Retail ejecuta un clúster de Aurora PostgreSQL para su servicio de pedidos. Seguridad exige la rotación automática de la contraseña del usuario de la aplicación cada 30 días sin otorgar al usuario de la aplicación privilegios ALTER USER ni exponer las credenciales maestras a las aplicaciones. ¿Cuál es la solución MÁS adecuada?

La rotación multiusuario de AWS Secrets Manager es la solución más adecuada porque permite rotar la contraseña de un usuario de aplicación específico (el secreto secundario) utilizando credenciales de superusuario (el secreto principal) sin exponer las credenciales maestras a la aplicación. Esto cumple con el requisito de rotación automática cada 30 días y la restricción de no otorgar privilegios ALTER USER al usuario de la aplicación. La autenticación de IAM no cumple con el requisito de rotación de contraseñas, ya que se basa en tokens de corta duración en lugar de contraseñas. Almacenar credenciales en Parameter Store y usar una función Lambda requeriría un desarrollo personalizado significativo para la lógica de rotación y actualización, lo cual es menos eficiente que la funcionalidad nativa de Secrets Manager. Habilitar la rotación de un solo usuario en el secreto del usuario maestro y que todos los servicios lo usen es una mala práctica de seguridad, ya que otorga privilegios excesivos a la aplicación y no cumple con el principio de privilegio mínimo.