Een productiebedrijf gebruikt een RDS-instance voor inventaris en heeft verschillende Lambda-functies die verbinding maken met de database met behulp van hardcoded credentials. Credentials mogen nooit in platte tekst worden opgeslagen en moeten elke 30 dagen worden geroteerd. Welke oplossing biedt dit met de minste operationele overhead?

De correcte optie is om AWS Secrets Manager te gebruiken. Secrets Manager is speciaal ontworpen voor het veilig opslaan, beheren en roteren van databasecredentials en andere geheimen. Het kan automatisch credentials roteren voor ondersteunde databases, inclusief RDS, met behulp van ingebouwde rotatiefuncties, wat de operationele overhead minimaliseert. Lambda-functies kunnen vervolgens de credentials ophalen uit Secrets Manager op het moment van uitvoering, waardoor hardcoded credentials worden vermeden en de vereiste voor rotatie elke 30 dagen wordt geautomatiseerd. De andere opties zijn minder optimaal: Het opslaan van wachtwoorden als omgevingsvariabelen, zelfs met een rotatie-Lambda, is minder veilig en vereist handmatig beheer van de omgevingsvariabelen van elke Lambda-functie na rotatie. Het versleutelen met KMS en opslaan als omgevingsvariabele is een verbetering, maar vereist nog steeds handmatige updates van de omgevingsvariabelen na rotatie en mist de ingebouwde rotatiemogelijkheden van Secrets Manager. AWS Systems Manager Parameter Store kan SecureStrings opslaan, maar de automatische rotatie voor databases is niet zo naadloos en geïntegreerd als met Secrets Manager, wat meer handmatige configuratie en beheer vereist.