Een bedrijf heeft een Node.js-functie op een on-premises server die een PostgreSQL-database gebruikt en de connection string opslaat in een omgevingsvariabele. Het bedrijf migreert de applicatie naar AWS Lambda, migreert de database naar Amazon RDS for PostgreSQL en beheert databasecredentials veilig met de minste operationele overhead. Welke oplossing voldoet aan deze vereisten?

AWS Secrets Manager is de meest geschikte oplossing omdat het specifiek is ontworpen voor het veilig opslaan, beheren en roteren van databasecredentials, API-sleutels en andere geheimen. De automatische rotatiefunctie van Secrets Manager voldoet direct aan de eis voor het roteren van secrets elke 30 dagen met minimale operationele overhead. De Lambda-functie kan de credentials eenvoudig ophalen via de AWS SDK. Het opslaan in Systems Manager Parameter Store is mogelijk, maar Secrets Manager biedt specifieke functionaliteit voor rotatie van databasecredentials die Parameter Store mist. Een versleutelde Lambda-omgevingsvariabele vereist handmatige of aangepaste rotatielogica, wat de operationele overhead verhoogt. AWS KMS is een encryptieservice en slaat geen credentials direct op; het wordt gebruikt om de secrets in Secrets Manager te versleutelen, maar is op zichzelf geen opslagplaats voor credentials.