BlueSky Retail gestisce un cluster Aurora PostgreSQL per il suo servizio di ordini. La sicurezza richiede la rotazione automatica della password dell'utente dell'applicazione ogni 30 giorni senza concedere all'utente dell'applicazione i privilegi ALTER USER o esporre le credenziali master alle applicazioni. Qual è la soluzione PIÙ appropriata?

Questa è la soluzione più appropriata perché AWS Secrets Manager supporta la rotazione multi-utente per Aurora PostgreSQL. Permette di archiviare un segreto per l'utente dell'applicazione e un segreto separato per un superuser. Il superuser può quindi essere configurato per ruotare la password dell'utente dell'applicazione ogni 30 giorni, soddisfacendo i requisiti di sicurezza senza concedere privilegi eccessivi all'utente dell'applicazione o esporre le credenziali master. L'autenticazione del database IAM non soddisfa il requisito di rotazione della password dell'utente dell'applicazione. AWS Systems Manager Parameter Store (SecureString) richiederebbe una logica personalizzata complessa con Lambda per la rotazione e l'aggiornamento, che è meno efficiente della funzionalità integrata di Secrets Manager. L'abilitazione della rotazione a utente singolo sul segreto dell'utente master e l'utilizzo di tale utente da parte di tutti i servizi espone le credenziali con privilegi elevati a tutte le applicazioni, violando il principio del privilegio minimo.