Een grote onderneming implementeert een webapplicatie op EC2-instances achter een ALB met Auto Scaling over AZ's. De applicatie gebruikt Amazon RDS voor Oracle en DynamoDB, en er zijn dev-, test- en prod-omgevingen. Wat is de meest veilige en flexibele methode om credentials te verkrijgen tijdens de implementatie?

De meest veilige en flexibele methode is het starten van EC2-instances met een instancerol. Dit elimineert de noodzaak om AWS-credentials rechtstreeks op de instances op te slaan, wat een belangrijke beveiligingspraktijk is. De instancerol verleent tijdelijke, roteerbare credentials aan de instance via het instance metadata service, waardoor de toegang tot AWS-services zoals DynamoDB veilig wordt beheerd. Voor databasecredentials biedt AWS Secrets Manager een veilige, gecentraliseerde service voor het opslaan, roteren en ophalen van gevoelige informatie zoals databasewachtwoorden. Dit is flexibel omdat credentials eenvoudig kunnen worden gewijzigd zonder de applicatiecode aan te passen. De andere opties zijn minder veilig of flexibel: Het opslaan van access keys in Systems Manager SecureString is beter dan plaintext, maar een instancerol is veiliger omdat er geen langetermijncredentials op de instance worden opgeslagen. Plaintext Systems Manager-parameters zijn onveilig voor credentials. Het opslaan van databasewachtwoorden in een versleuteld configuratiebestand dat is gebundeld met de applicatie-artefacten is minder flexibel en veiliger dan Secrets Manager, omdat het roteren van wachtwoorden een herimplementatie van de applicatie vereist.