BlueSky Retail은 주문 서비스용 Aurora PostgreSQL 클러스터를 운영합니다. 보안상 애플리케이션 사용자에게 ALTER USER 권한을 부여하거나 마스터 자격 증명을 애플리케이션에 노출하지 않고도 애플리케이션 사용자의 데이터베이스 암호를 30일마다 자동으로 교체해야 합니다. 가장 적절한 솔루션은 무엇입요?

이 솔루션은 AWS Secrets Manager의 다중 사용자 암호 교체 기능을 활용합니다. 애플리케이션 사용자 시크릿과 별도의 슈퍼유저 시크릿을 저장함으로써, 애플리케이션에 ALTER USER 권한을 부여하거나 마스터 자격 증명을 노출하지 않고도 슈퍼유저가 애플리케이션 사용자의 암호를 안전하게 교체할 수 있습니다. 30일 일정은 요구 사항을 충족합니다. IAM 데이터베이스 인증은 암호 교체 요구 사항을 비활성화할 수 있지만, 이는 질문의 "30일마다 자동 교체" 요구 사항을 직접적으로 해결하지 않습니다. Systems Manager Parameter Store를 사용하는 것은 가능하지만, Secrets Manager는 암호 교체 기능을 내장하고 있어 더 효율적인 솔루션입니다. 마스터 사용자 시크릿에 대한 단일 사용자 교체를 활성화하고 모든 서비스가 마스터 사용자를 사용하도록 하는 것은 보안 모범 사례가 아니며, 최소 권한 원칙을 위반합니다.