Uno stage CodeBuild in una pipeline di deployment necessita delle credenziali del database per eseguire i test di integrazione. La policy aziendale impone la rotazione automatica di tutte le credenziali del database. Qual è il metodo che fornisce in modo sicuro le credenziali a rotazione alla build con il minor overhead operativo?

L'opzione corretta è fornire le credenziali tramite una variabile d'ambiente collegata a un secret di AWS Secrets Manager e configurare Secrets Manager per la rotazione automatica. AWS Secrets Manager è progettato specificamente per archiviare e gestire segreti sensibili come le credenziali del database, supportando la rotazione automatica e l'integrazione con altri servizi AWS. CodeBuild può accedere a questi segreti tramite variabili d'ambiente. Codificare le credenziali direttamente nel file buildspec.yml non è sicuro e non supporta la rotazione automatica. Fornire le credenziali tramite una variabile d'ambiente collegata a un parametro SecureString di Systems Manager è una soluzione valida per l'archiviazione sicura, ma Systems Manager Parameter Store non gestisce la rotazione automatica delle credenziali del database in modo nativo come Secrets Manager. Fornire le credenziali in testo normale non è sicuro e l'uso di EventBridge per la rotazione non risolve il problema della trasmissione sicura delle credenziali.