Un'azienda esegue un'applicazione di pagamento su istanze Amazon EC2 dietro un Application Load Balancer. Le istanze EC2 si trovano in un gruppo con Auto Scaling distribuito su più zone di disponibilità. L'applicazione deve recuperare i segreti all'avvio ed esportarli come variabili d'ambiente. I segreti devono essere crittografati a riposo e ruotati mensilmente. Quale soluzione soddisfa questi requisiti con il minor sforzo di sviluppo?

L'opzione corretta è la migliore perché AWS Secrets Manager è progettato specificamente per archiviare, gestire e ruotare i segreti in modo sicuro. Permette la crittografia a riposo con chiavi KMS gestite dal cliente e offre la rotazione automatica integrata, soddisfacendo tutti i requisiti con il minimo sforzo di sviluppo. Uno script di dati utente EC2 può facilmente recuperare i segreti all'avvio dell'istanza. Le altre opzioni sono meno ideali: Archiviare segreti in S3 non è la soluzione più sicura o efficiente per la gestione dei segreti, e l'uso di S3 Object Lambda per la rotazione è un approccio complesso e non nativo per questa esigenza. AWS Systems Manager Parameter Store può archiviare segreti, ma la rotazione automatica non è una funzionalità nativa e richiederebbe uno script Lambda personalizzato, aggiungendo complessità rispetto a Secrets Manager. La crittografia con la chiave KMS predefinita potrebbe non soddisfare requisiti specifici di conformità. Incorporare segreti codificati in base64 direttamente nelle proprietà dell'applicazione è una pratica sconsigliata per la sicurezza e la gestione, rendendo difficile la rotazione e aumentando il rischio di esposizione.