Una empresa tiene una función Node.js en un servidor on-premises que utiliza una base de datos PostgreSQL y almacena la cadena de conexión en una variable de entorno. La empresa migrará la aplicación a AWS Lambda, migrará la base de datos a Amazon RDS for PostgreSQL y gestionará de forma segura las credenciales de la base de datos con la menor sobrecarga operativa. ¿Qué solución cumple estos requisitos?

La opción correcta es almacenar las credenciales en AWS Secrets Manager. Secrets Manager está diseñado específicamente para gestionar, recuperar y rotar credenciales de bases de datos, claves API y otros secretos de forma segura. Su capacidad de rotación automática de credenciales cada 30 días, sin necesidad de código personalizado, cumple con el requisito de menor sobrecarga operativa. La función Lambda puede integrarse fácilmente con Secrets Manager para recuperar las credenciales en tiempo de ejecución. Almacenar en Parameter Store es posible, pero Secrets Manager ofrece una gestión de rotación de credenciales más robusta y automatizada para bases de datos. Las variables de entorno cifradas en Lambda no ofrecen rotación automática nativa, lo que requeriría una función Lambda personalizada para la rotación, aumentando la sobrecarga operativa. AWS KMS gestiona claves de cifrado, no almacena directamente las credenciales de la base de datos, y su rotación es para las claves maestras, no para los secretos de la base de datos.