Une entreprise exécute une application de paiement sur des instances Amazon EC2 derrière un Application Load Balancer. Les instances EC2 se trouvent dans un groupe Auto Scaling réparti sur plusieurs zones de disponibilité. L'application doit récupérer les secrets au démarrage et les exporter en tant que variables d'environnement. Les secrets doivent être chiffrés au repos et renouvelés mensuellement. Quelle solution répond à ces exigences avec le moins d'effort de développement ?

La bonne réponse est de stocker les secrets dans AWS Secrets Manager. Secrets Manager est conçu pour stocker, gérer et récupérer des secrets de manière sécurisée. Il prend en charge le chiffrement au repos avec AWS KMS (y compris les clés gérées par le client) et offre une rotation automatique intégrée, ce qui répond directement aux exigences de renouvellement mensuel et de chiffrement. L'utilisation d'un script de données utilisateur EC2 pour récupérer les secrets au démarrage est une méthode standard et efficace pour injecter des secrets dans l'environnement de l'application. Les autres options sont moins optimales : Stocker les secrets dans S3 avec S3 Object Lambda pour la rotation est plus complexe et moins sécurisé que Secrets Manager pour la gestion des secrets. AWS Systems Manager Parameter Store est une option valide pour les secrets, mais Secrets Manager est spécifiquement conçu pour les secrets qui nécessitent une rotation automatique et des fonctionnalités de gestion plus avancées. Intégrer les secrets en tant que variables d'environnement encodées en base64 dans les propriétés de l'application est une pratique non sécurisée et ne permet pas une rotation facile et automatisée.