Un sitio web estático de producción en S3 invoca una base de datos Aurora PostgreSQL a través de una función Lambda. El sitio utiliza un alias de Lambda que apunta a una versión específica de la función. Las credenciales de la base de datos deben rotarse cada dos semanas, y las versiones de Lambda implementadas más antiguas deben poder acceder a las credenciales más recientes. ¿Qué solución satisface estos requisitos?

La opción correcta es almacenar las credenciales en AWS Secrets Manager con rotación habilitada y que la función Lambda las recupere en tiempo de ejecución. Secrets Manager está diseñado para almacenar, gestionar y rotar credenciales de forma segura, incluyendo la integración automática con bases de datos como Aurora. La rotación automática cada dos semanas cumple el requisito de seguridad. Al recuperar las credenciales en tiempo de ejecución, las versiones antiguas de Lambda siempre obtendrán las credenciales más recientes, satisfaciendo el requisito clave. Las otras opciones son incorrectas: Incrustar las credenciales en el código de la función Lambda es una mala práctica de seguridad y requeriría una nueva implementación de la función cada vez que cambien las credenciales, lo cual es ineficiente. Almacenar las credenciales en las variables de entorno de Lambda también requeriría actualizar y posiblemente volver a implementar la función para cada cambio de credenciales, y no ofrece rotación automática. Systems Manager Parameter Store puede almacenar credenciales, pero no ofrece rotación automática integrada para bases de datos como Aurora, lo que requeriría una solución de rotación personalizada más compleja.