Quatre fonctions Lambda se connectent à une base de données relationnelle Amazon RDS. L'équipe de sécurité exige que le mot de passe de la base de données soit automatiquement renouvelé tous les 30 jours. Quelle est la solution la plus sécurisée pour répondre à cette exigence ?

La solution la plus sécurisée est d'utiliser AWS Secrets Manager. Secrets Manager est conçu pour stocker et gérer les secrets de manière sécurisée, et il offre une fonctionnalité de rotation automatique intégrée pour les bases de données RDS, ce qui permet de renouveler le mot de passe tous les 30 jours sans intervention manuelle. Les fonctions Lambda peuvent récupérer ces identifiants dynamiquement au moment de l'exécution. Stocker les identifiants dans les variables d'environnement n'est pas sécurisé car ils sont visibles et nécessitent un redéploiement manuel. Le Systems Manager Parameter Store peut stocker des secrets, mais la rotation automatique pour les bases de données RDS n'est pas une fonctionnalité native comme dans Secrets Manager. Utiliser un objet S3 chiffré avec SSE-C est moins pratique et moins sécurisé pour la gestion des identifiants de base de données, car cela nécessiterait une logique personnalisée complexe pour la rotation et la récupération sécurisée.