Een bedrijf voert maandelijks onderhoud uit en moet de credentials voor Amazon RDS for MySQL-databases in meerdere AWS-regio's rouleren. Welke oplossing voldoet aan deze vereiste met de minste operationele overhead?

De juiste oplossing is het opslaan van de credentials in AWS Secrets Manager met multi-Region secret replication en het configureren van Secrets Manager voor geautomatiseerde rotatie. Dit biedt de minste operationele overhead omdat Secrets Manager ingebouwde functionaliteit heeft voor het veilig opslaan, repliceren en roteren van databasecredentials, inclusief integratie met RDS. Het opslaan van credentials in AWS Systems Manager Parameter Store (secure string) is mogelijk, maar Parameter Store heeft geen ingebouwde rotatiefunctie voor databasecredentials, wat extra configuratie en operationele overhead zou vereisen. Het opslaan in een Amazon S3-bucket met server-side encryptie is minder veilig en vereist een aangepaste Lambda-functie voor zowel rotatie als beveiliging, wat aanzienlijk meer operationele overhead met zich meebrengt. Het versleutelen met AWS KMS en opslaan in een DynamoDB global table, gecombineerd met een Lambda-functie, is een complexe en handmatige oplossing die veel operationele overhead en ontwikkelingsinspanning vereist, en niet de standaard best practice is voor credentialrotatie.