Uno sviluppatore gestisce molti secret in AWS Secrets Manager utilizzati da diverse applicazioni. Nel tempo alcuni secret vengono ruotati o non sono più utilizzati. Lo sviluppatore deve determinare quali secret di Secrets Manager sono attualmente utilizzati dalle applicazioni senza causare tempi di inattività. Quale approccio dovrebbe adottare lo sviluppatore?

L'approccio corretto consiste nell'abilitare la regola gestita di AWS Config secretsmanager-secret-unused per identificare i secret che non sono stati recuperati per un periodo specificato. Questa regola valuta automaticamente i secret di Secrets Manager e segnala quelli inattivi, senza influire sulle applicazioni. La creazione di una regola EventBridge per inviare notifiche quando questa regola rileva secret non utilizzati consente allo sviluppatore di essere avvisato proattivamente. Le altre opzioni sono meno efficaci o causano interruzioni: Abilitare i log di CloudTrail e monitorare le richieste GetSecretValue con CloudWatch richiederebbe un'analisi manuale complessa per determinare l'utilizzo effettivo e non identificherebbe facilmente i secret non utilizzati. Disattivare temporaneamente i secret causerebbe interruzioni e tempi di inattività per le applicazioni che li utilizzano, il che è esplicitamente ciò che si vuole evitare. Abilitare AWS X-Ray per le applicazioni e creare una regola di campionamento per le chiamate GetSecretValue aiuterebbe a tracciare l'utilizzo, ma non identificherebbe direttamente i secret non utilizzati e richiederebbe modifiche all'applicazione e un'analisi più complessa rispetto alla regola di Config.