Une grande entreprise déploie une application web sur des instances EC2 derrière un ALB avec Auto Scaling sur plusieurs zones de disponibilité (AZ). L'application utilise Amazon RDS for Oracle et DynamoDB, et il existe des environnements de développement, de test et de production. Quelle est la méthode la plus sécurisée et la plus flexible pour obtenir les informations d'identification lors du déploiement ?

La bonne réponse est de lancer des instances EC2 avec un rôle d'instance et de récupérer les informations d'identification de la base de données depuis AWS Secrets Manager. L'utilisation d'un rôle d'instance EC2 est la méthode la plus sécurisée et recommandée par AWS pour accorder des autorisations aux applications s'exécutant sur des instances EC2, car elle élimine le besoin de stocker des clés d'accès sur l'instance. AWS Secrets Manager est le service le plus sécurisé et le plus flexible pour stocker, récupérer et faire pivoter les informations d'identification de bases de données, offrant un chiffrement, une rotation automatique et un contrôle d'accès granulaire. Stocker une clé d'accès dans un paramètre Systems Manager SecureString est moins sécurisé que d'utiliser un rôle d'instance, car la clé d'accès pourrait être compromise si l'instance est compromise. Stocker une clé d'accès en texte clair est une mauvaise pratique de sécurité. Stocker les mots de passe de la base de données dans un fichier de configuration chiffré fourni avec les artefacts de l'application est moins sécurisé et moins flexible que Secrets Manager, car cela rend la rotation des informations d'identification plus complexe et augmente le risque de fuite.