Een bestaande applicatie met hardcoded DB-credentials is geïmplementeerd in twee regio's in een actieve-passieve failover-opstelling. Je moet de credentials uit de code halen en voldoen aan de disaster-recovery strategie. Wat is de MEEST veilige oplossing die voldoet aan de multi-Regio vereiste?

De meest veilige oplossing is het opslaan van credentials in AWS Secrets Manager. Secrets Manager is speciaal ontworpen voor het veilig opslaan en beheren van gevoelige informatie zoals database credentials, API-sleutels en andere geheimen. Het biedt automatische rotatie, gedetailleerde toegangscontrole en encryptie. Door secret-replicatie in te schakelen naar de secundaire regio, wordt voldaan aan de multi-regio vereiste voor disaster recovery, omdat de geheimen beschikbaar zijn in beide regio's. De applicatie kan vervolgens de juiste ARN gebruiken om het geheim op te halen, afhankelijk van de actieve regio. AWS Systems Manager Parameter Store is geschikt voor configuratieparameters, maar Secrets Manager is de betere keuze voor gevoelige credentials vanwege de extra beveiligingsfuncties zoals automatische rotatie. Het opslaan van credentials in configuratiebestanden op S3 of EFS is minder veilig, omdat deze diensten niet specifiek zijn ontworpen voor het beheer van geheimen met functies zoals automatische rotatie en fijnmazige toegangscontrole die Secrets Manager wel biedt.