Una empresa necesita proporcionar credenciales de base de datos seguras, cifradas en reposo, con rotación programada para sus bases de datos alojadas en AWS (Amazon RDS, Amazon DocumentDB y Amazon Aurora). ¿Qué solución cumple con estos requisitos de seguridad y rotación de la manera más segura?

AWS Secrets Manager es la solución más segura y adecuada para gestionar credenciales de bases de datos. Permite almacenar secretos (como credenciales) cifrados en reposo y ofrece rotación automática programada, integrándose directamente con servicios como Amazon RDS, DocumentDB y Aurora. El uso de plantillas de Lambda (SecretsManagerRotationTemplate) facilita la implementación de la lógica de rotación. Las otras opciones son menos óptimas: la autenticación de IAM para bases de datos es excelente para la autenticación de usuarios y roles de IAM, pero no gestiona directamente las credenciales de la base de datos para aplicaciones de la misma manera que Secrets Manager. AWS Systems Manager Parameter Store puede almacenar SecureStrings, pero su funcionalidad de rotación automática es más limitada y no tan robusta como la de Secrets Manager para credenciales de bases de datos. Almacenar credenciales en S3, aunque cifrado, no proporciona la rotación automática ni la gestión de acceso granular y seguro que ofrece Secrets Manager.