Een bedrijf draait een betalingstoepassing op Amazon EC2-instances achter een Application Load Balancer. De EC2-instances bevinden zich in een Auto Scaling group verspreid over meerdere Availability Zones. De toepassing moet bij het opstarten secrets ophalen en deze exporteren als omgevingsvariabelen. Secrets moeten versleuteld zijn wanneer ze inactief zijn (at rest) en maandelijks worden geroteerd. Welke oplossing voldoet aan deze vereisten met de minste ontwikkelingsinspanning?

De correcte optie voldoet aan alle eisen met minimale ontwikkelingsinspanning. AWS Secrets Manager is ontworpen voor het veilig opslaan en beheren van secrets, ondersteunt versleuteling met KMS-sleutels en biedt ingebouwde automatische rotatie. Het ophalen via een EC2 user data script is een standaardpraktijk voor het injecteren van configuratie bij het opstarten van instances. De eerste optie (S3) mist een eenvoudige rotatiemechanisme en S3 Object Lambda is niet primair bedoeld voor secretrotatie. De tweede optie (Parameter Store) ondersteunt geen automatische rotatie, wat een aangepaste Lambda-functie vereist en dus meer ontwikkelingsinspanning. De derde optie (base64-gecodeerde omgevingsvariabelen) is onveilig omdat secrets niet versleuteld zijn at rest en rotatie handmatig of via een aangepast script moet gebeuren, wat de complexiteit verhoogt.