Una empresa utiliza funciones de AWS Lambda que deben conectarse a una instancia de base de datos de Microsoft SQL Server en Amazon RDS. Existen entornos de desarrollo y producción separados; los desarrolladores pueden acceder a las credenciales de desarrollo, pero las credenciales de producción deben cifrarse utilizando una clave que solo los miembros del grupo de IAM del equipo de seguridad de TI puedan usar. La clave debe rotarse regularmente. ¿Qué debe implementar un arquitecto de soluciones en el entorno de producción para satisfacer estos requisitos?

La opción correcta es AWS Secrets Manager porque cumple con todos los requisitos. Permite almacenar credenciales de forma segura utilizando una clave KMS administrada por el cliente (CMK), lo que garantiza que solo el equipo de seguridad de TI pueda acceder a ellas. Además, Secrets Manager ofrece rotación automática de credenciales, lo cual es un requisito explícito. Las funciones de Lambda pueden acceder a estas credenciales de forma segura a través de roles de IAM. Las otras opciones son incorrectas porque: Almacenar en AWS Systems Manager Parameter Store como SecureString no ofrece rotación automática de credenciales. Almacenar en variables de entorno de Lambda, incluso cifradas con KMS, no es la práctica recomendada para secretos y carece de rotación automática. Cifrar con la clave predeterminada de Lambda de AWS KMS y almacenar en variables de entorno tampoco proporciona la rotación automática ni la gestión centralizada de Secrets Manager.