Una empresa utiliza una cadena de autoridad de certificación raíz (Root CA) personalizada (10 KB) para emitir certificados SSL para endpoints HTTPS on-premises. Cientos de funciones AWS Lambda extraen datos de estos endpoints. Un desarrollador inicialmente incluyó el archivo del certificado Root CA dentro de cada paquete de despliegue de Lambda y actualizó el almacén de confianza del entorno de ejecución cuando el entorno se inicializa. Después de 3 meses, la Root CA ha cambiado y debe actualizarse. El desarrollador necesita una solución que permita actualizar el certificado Root CA para todas las funciones Lambda desplegadas sin reconstruir ni volver a desplegar cada función, a través de cuentas AWS separadas para desarrollo, pruebas y producción. ¿Qué dos pasos juntos cumplen estos requisitos de la manera más rentable? (Elija dos).

Almacenar el certificado Root CA en AWS Secrets Manager es la opción más rentable y segura para gestionar secretos como certificados. Permite una actualización centralizada del certificado sin necesidad de modificar el código de las funciones Lambda. La política de recursos garantiza que solo las entidades de IAM autorizadas puedan acceder al secreto. Refactorizar las funciones Lambda para cargar el certificado Root CA desde su ubicación en tiempo de ejecución y actualizar el almacén de confianza fuera del controlador de función Lambda es crucial. Esto evita reconstruir y redesplegar cada función cuando el certificado cambia, ya que el certificado se obtiene dinámicamente. Al hacerlo fuera del controlador, se optimiza el rendimiento, ya que la carga y actualización se realizan una sola vez por entorno de ejecución, no en cada invocación de la función. Almacenar en Parameter Store es similar, pero Secrets Manager está diseñado específicamente para secretos con rotación y gestión de versiones. S3 no es ideal para secretos debido a la falta de características de gestión de secretos. Actualizar el almacén de confianza dentro del controlador sería ineficiente.