Varias funciones Lambda en una aplicación se conectan a una única base de datos de Amazon RDS. Las credenciales de la base de datos deben almacenarse de forma segura y, cuando se actualizan las credenciales, las funciones Lambda deben poder usar las nuevas credenciales sin cambiar el código ni la configuración. ¿Qué solución cumple estos requisitos?

La opción correcta es almacenar las credenciales en AWS Secrets Manager y que las funciones Lambda las recuperen en tiempo de ejecución. Secrets Manager está diseñado para la gestión de credenciales de bases de datos, permitiendo su rotación automática y una integración sencilla con Lambda. Cuando las credenciales se actualizan en Secrets Manager, las funciones Lambda obtendrán automáticamente la última versión al solicitarlas, sin necesidad de cambios en el código o la configuración de la función. Las otras opciones son menos adecuadas: Inyectar credenciales de Secrets Manager en variables de entorno (opción 2) no es ideal porque las variables de entorno se cargan una vez al inicio de la función y no se actualizan automáticamente si el secreto cambia, requiriendo un redeploy. Usar AWS Systems Manager Parameter Store con un disparador (opción 3) no es una funcionalidad estándar para la rotación de credenciales de RDS y complicaría la arquitectura. Referenciar un SecureString de Parameter Store en una variable de entorno (opción 4) tiene el mismo problema que la opción 2: las variables de entorno no se actualizan dinámicamente. Además, Secrets Manager ofrece funcionalidades específicas para credenciales de bases de datos, como la rotación automática, que Parameter Store no tiene de forma nativa.