Una empresa ejecuta una aplicación de pago en instancias de Amazon EC2 detrás de un Application Load Balancer. Las instancias EC2 están en un grupo de Auto Scaling en varias zonas de disponibilidad. La aplicación debe recuperar secretos al inicio y exportarlos como variables de entorno. Los secretos deben cifrarse en reposo y rotarse mensualmente. ¿Qué solución cumple estos requisitos con el menor esfuerzo de desarrollo?

La opción correcta es AWS Secrets Manager porque está diseñado específicamente para almacenar y rotar secretos de forma segura, cifrándolos en reposo con KMS y permitiendo la rotación automática mensual. Un script de datos de usuario de EC2 puede recuperar estos secretos al inicio y exportarlos como variables de entorno, cumpliendo todos los requisitos con el menor esfuerzo de desarrollo. Almacenar secretos en un archivo de texto en S3 no ofrece la rotación automática ni la gestión de secretos que Secrets Manager proporciona, y S3 Object Lambda no está diseñado para rotar contenido de secretos. Usar Systems Manager Parameter Store es una opción viable para el almacenamiento y cifrado, pero la rotación automática de Secrets Manager es más conveniente y el esfuerzo de desarrollo es menor que crear una función Lambda personalizada para la rotación. Incrustar secretos codificados en base64 en las propiedades de la aplicación es inseguro y no cumple con los requisitos de cifrado en reposo ni rotación automática.