Een bedrijf gebruikt AWS Lambda-functies die verbinding moeten maken met een Microsoft SQL Server DB-instantie op Amazon RDS. Er zijn afzonderlijke ontwikkel- en productieomgevingen; ontwikkelaars hebben toegang tot ontwikkelingsreferenties, maar productiereferenties moeten worden versleuteld met een sleutel die alleen leden van de IAM-groep van het IT-beveiligingsteam kunnen gebruiken. De sleutel moet regelmatig worden geroteerd. Wat moet een solutions architect implementeren in de productieomgeving om aan deze vereisten te voldoen?

Het opslaan van productiedatabase-referenties in AWS Secrets Manager met een door de klant beheerde AWS KMS-sleutel voldoet aan alle vereisten. Secrets Manager is specifiek ontworpen voor het veilig opslaan, beheren en roteren van geheimen zoals databasereferenties. De integratie met KMS zorgt voor versleuteling met een sleutel die alleen toegankelijk is voor het IT-beveiligingsteam. IAM-rollen voor Lambda-functies bieden de benodigde toegang om de geheimen op te halen. De ingebouwde rotatiefunctie van Secrets Manager zorgt voor regelmatige rotatie van referenties. De optie met AWS Systems Manager Parameter Store is minder geschikt omdat Parameter Store weliswaar SecureString-parameters ondersteunt, maar geen ingebouwde rotatiefunctie heeft voor referenties, wat handmatig beheer vereist. De opties die omgevingsvariabelen van Lambda-functies gebruiken, zijn onveilig. Hoewel versleuteling met KMS mogelijk is, worden omgevingsvariabelen niet aanbevolen voor gevoelige gegevens zoals productiereferenties, en ze bieden geen eenvoudige rotatiemechanismen.