Varias funciones Lambda consumen mensajes de un tema de SNS y escriben en una base de datos de Amazon Aurora. La política de la empresa exige que todas las funciones Lambda utilicen una única cadena de conexión a la base de datos, cifrada de forma segura. ¿Qué solución cumple este requisito?

Almacenar las credenciales de la base de datos en AWS Systems Manager Parameter Store como un parámetro SecureString es la solución más segura y escalable. Parameter Store permite almacenar datos confidenciales de forma cifrada (utilizando KMS) y centralizada, facilitando la rotación de credenciales y el acceso controlado por IAM para múltiples funciones Lambda. Habilitar la autenticación de base de datos de IAM para Aurora es una buena práctica de seguridad, pero no aborda directamente el requisito de una "única cadena de conexión cifrada" que las funciones Lambda puedan usar para autenticarse, ya que cada función necesitaría sus propias credenciales temporales. Almacenar credenciales en una base de datos RDS cifrada es una mala práctica de seguridad, ya que las credenciales para acceder a la base de datos de credenciales necesitarían ser almacenadas en otro lugar. Poner las credenciales en variables de entorno de Lambda cifradas con una clave de AWS KMS compartida es menos flexible y escalable que Parameter Store, ya que cada función Lambda tendría su propia copia de las credenciales, dificultando la gestión centralizada y la rotación.