ある会社では、Amazon RDS 上の Microsoft SQL Server DB インスタンスに接続する必要がある AWS Lambda 関数を使用しています。開発環境と本番環境は分離されており、開発者は開発用認証情報にアクセスできますが、本番用認証情報は IT セキュリティチームの IAM グループのメンバーのみが使用できるキーで暗号化する必要があります。このキーは定期的にローテーションする必要があります。これらの要件を満たすために、ソリューションアーキテクトは本番環境で何を実装すべきですか？

AWS Secrets Managerは、データベース認証情報、APIキー、その他のシークレットを安全に保存および管理するための専用サービスです。KMSカスタマーマネージドキーによる暗号化と、シークレットの自動ローテーション機能を提供し、定期的な認証情報更新の要件を満たします。Lambda関数はIAMロールを通じてSecrets Managerからシークレットを安全に取得でき、ITセキュリティチームはシークレットとKMSキーへのアクセスを厳密に制御できます。 AWS Systems Manager Parameter Storeは認証情報の保存にも使用できますが、Secrets Managerのような自動ローテーション機能は組み込まれていません。環境変数は、KMSで暗号化されていても、ローテーション機能がなく、コードデプロイ時に認証情報が変更されるリスクがあるため、機密性の高い認証情報には推奨されません。また、KMSのデフォルトキーは、セキュリティチームによるアクセス制限の要件を満たしません。