Een ontwikkelaar beheert veel geheimen in AWS Secrets Manager die door verschillende applicaties worden gebruikt. Na verloop van tijd worden sommige geheimen geroteerd of niet meer gebruikt. De ontwikkelaar moet bepalen welke Secrets Manager-geheimen momenteel door applicaties worden gebruikt zonder downtime te veroorzaken. Welke aanpak moet de ontwikkelaar kiezen?

De AWS Config managed rule secretsmanager-secret-unused is specifiek ontworpen om Secrets Manager-geheimen te identificeren die gedurende een configureerbare periode niet zijn gebruikt. Dit is een niet-invasieve methode die geen downtime veroorzaakt. Door een EventBridge-regel te koppelen, kunnen meldingen automatisch worden verzonden wanneer ongebruikte geheimen worden gedetecteerd, wat efficiënt beheer mogelijk maakt. Het inschakelen van CloudTrail en een CloudWatch-alarm monitort wel API-aanroepen, maar vereist handmatige analyse om te bepalen welke geheimen niet worden gebruikt. Het tijdelijk deactiveren van geheimen zou downtime veroorzaken en is daarom onacceptabel. AWS X-Ray is nuttig voor het traceren van API-aanroepen binnen applicaties, maar is niet primair gericht op het identificeren van ongebruikte geheimen op schaal en vereist instrumentatie van de applicaties.