Cuatro funciones Lambda se conectan a una base de datos relacional de Amazon RDS. El equipo de seguridad requiere que la contraseña de la base de datos se rote automáticamente cada 30 días. ¿Cuál es la forma más segura de cumplir este requisito?

La opción correcta es almacenar las credenciales en AWS Secrets Manager y configurar la rotación automática. Secrets Manager está diseñado específicamente para almacenar y rotar secretos de forma segura, incluyendo contraseñas de bases de datos. Ofrece integración directa con Amazon RDS para la rotación automática, lo que cumple con el requisito de seguridad sin intervención manual. Las variables de entorno de Lambda no son seguras para almacenar secretos y requieren una reimplementación manual, lo cual es propenso a errores y no es escalable. Systems Manager Parameter Store puede almacenar secretos, pero la rotación automática para RDS no es una característica nativa y requeriría una implementación personalizada más compleja. Almacenar credenciales en S3 con SSE-C es menos seguro que Secrets Manager para este caso de uso, ya que S3 no está diseñado para la gestión y rotación automática de secretos de bases de datos, y la gestión de claves de cliente añade complejidad.