Un'azienda manifatturiera utilizza un'istanza RDS per l'inventario e dispone di diverse funzioni Lambda che si connettono al database utilizzando credenziali hardcoded. Le credenziali non devono mai essere archiviate in testo in chiaro e devono essere ruotate ogni 30 giorni. Quale soluzione fornisce questo con il minor overhead operativo?

La soluzione corretta è AWS Secrets Manager perché è progettato specificamente per la gestione, l'archiviazione e la rotazione automatica delle credenziali di database, API e altri segreti. Integrandosi con i database RDS, Secrets Manager può ruotare le credenziali automaticamente senza intervento manuale, riducendo l'overhead operativo. Le funzioni Lambda possono quindi recuperare le credenziali aggiornate al runtime. Le altre opzioni presentano delle carenze: L'archiviazione delle credenziali come variabili d'ambiente, anche se gestite da una Lambda di rotazione, non è la pratica più sicura e richiede la gestione manuale dell'aggiornamento delle variabili d'ambiente per ogni Lambda. L'uso di KMS per crittografare le credenziali richiede comunque una Lambda personalizzata per la rotazione e la gestione delle credenziali, aumentando la complessità. Systems Manager Parameter Store con SecureString è una buona opzione per l'archiviazione sicura, ma non offre la rotazione automatica integrata per i database RDS come Secrets Manager, richiedendo una Lambda di rotazione personalizzata e più overhead.