Een CloudFormation-template implementeert een Amazon Linux EC2-instance, een Amazon Aurora-cluster en bevat een hardcoded databasewachtwoord dat elke 90 dagen moet worden geroteerd. Wat is de veiligste methode om dit databasewachtwoord te beheren en te roteren?

De correcte optie is de veiligste methode omdat AWS Secrets Manager specifiek is ontworpen voor het beheren, roteren en ophalen van geheimen zoals databasewachtwoorden. Door GenerateSecretString te gebruiken, wordt het wachtwoord automatisch gegenereerd en hoeft het niet hardcoded te zijn of als een parameter te worden doorgegeven. RotationSchedule automatiseert de rotatie, wat essentieel is voor beveiliging en compliance. Applicaties kunnen het secret veilig ophalen via de Secrets Manager API. De andere opties zijn minder veilig: Een AWS::SecretsManager::Secret met SecretString en een CloudFormation-parameter vereist nog steeds dat het wachtwoord handmatig wordt ingevoerd, wat de kans op menselijke fouten vergroot en de automatische rotatie niet afhandelt. Het gebruik van AWS::SSM::Parameter als SecureString is beter dan een plain string, maar Parameter Store biedt geen ingebouwde automatische rotatie voor databasewachtwoorden zoals Secrets Manager dat doet. Het opslaan van een wachtwoord als een plain string in AWS::SSM::Parameter is de minst veilige optie, omdat het wachtwoord niet versleuteld is.