BlueSky Retail gebruikt een Aurora PostgreSQL-cluster voor zijn orderdienst. Beveiliging vereist automatische rotatie van het databasewachtwoord van de applicatiegebruiker elke 30 dagen, zonder de applicatiegebruiker ALTER USER-rechten te geven of de master-credentials bloot te stellen aan applicaties. Wat is de MEEST geschikte oplossing?

De meest geschikte oplossing is om AWS Secrets Manager te gebruiken met multi-user rotatie. Dit stelt u in staat om een applicatiegebruikersgeheim en een apart superuser-geheim op te slaan. Secrets Manager kan vervolgens de superuser gebruiken om het wachtwoord van de applicatiegebruiker automatisch elke 30 dagen te roteren, zonder de applicatie ALTER USER-rechten te geven of master-credentials bloot te stellen. IAM database authenticatie is geen rotatieoplossing en vereist applicatieaanpassingen. Het gebruik van AWS Systems Manager Parameter Store met een Lambda-functie is mogelijk, maar Secrets Manager biedt ingebouwde rotatiefuncties die speciaal hiervoor zijn ontworpen. Single-user rotatie van de master-gebruiker is onveilig omdat het alle services de master-gebruiker zou laten gebruiken, wat een te breed permissiebereik is en in strijd is met het principe van least privilege.