Een CodeBuild-stage in een deployment-pipeline heeft databasecredentials nodig om integratietests uit te voeren. Het bedrijfsbeleid schrijft automatische rotatie van alle databasecredentials voor. Welke methode levert roterende credentials veilig aan de build met de minste operationele overhead?

De correcte methode is het gebruik van AWS Secrets Manager. Secrets Manager is specifiek ontworpen voor het veilig opslaan en automatisch roteren van credentials, zoals databasewachtwoorden, met minimale operationele overhead. Je kunt de secret koppelen aan een omgevingsvariabele in CodeBuild, waarna CodeBuild de waarde veilig ophaalt. Hardcoding in buildspec.yml is onveilig en voldoet niet aan het rotatiebeleid. Het gebruik van een SecureString Systems Manager-parameter is een optie voor veilige opslag, maar Parameter Store biedt geen ingebouwde automatische rotatie voor databasecredentials zoals Secrets Manager dat doet. Een plaintext connection string in een omgevingsvariabele is onveilig en EventBridge biedt geen directe rotatiemogelijkheden voor credentials zelf.