Più funzioni Lambda utilizzano messaggi da un argomento SNS e scrivono in un database Amazon Aurora. La policy aziendale richiede che tutte le Lambda utilizzino un'unica stringa di connessione al database crittografata in modo sicuro. Quale soluzione soddisfa questo requisito?

La memorizzazione delle credenziali del database in AWS Systems Manager Parameter Store come parametro SecureString è la soluzione più sicura e gestibile. SecureString crittografa il valore del parametro utilizzando AWS KMS, garantendo che le credenziali siano protette sia a riposo che in transito. Le funzioni Lambda possono recuperare queste credenziali in fase di runtime, centralizzando la gestione e la rotazione delle credenziali. L'autenticazione del database IAM per Aurora è un'ottima pratica di sicurezza, ma non risolve direttamente il problema della "stringa di connessione crittografata in modo sicuro" che contiene credenziali. Le credenziali dovrebbero comunque essere gestite in modo sicuro. Archiviare le credenziali su un'istanza DB Amazon RDS crittografata non è una pratica consigliata per la gestione delle credenziali di altre risorse, poiché introduce una dipendenza circolare e non è il servizio progettato per questo scopo. Inserire le credenziali nelle variabili d'ambiente Lambda crittografate con una chiave AWS KMS condivisa è possibile, ma Parameter Store offre una gestione più centralizzata, versioning e audit trail, rendendolo superiore per questo caso d'uso.