Een statische productiewebsite in S3 roept een Aurora PostgreSQL-database aan via een Lambda-functie. De site gebruikt een Lambda-alias die naar een specifieke functieversie verwijst. Databasecredentials moeten elke twee weken worden geroteerd en oudere geïmplementeerde Lambda-versies moeten toegang hebben tot de nieuwste credentials. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is om databasecredentials op te slaan in AWS Secrets Manager met rotatie ingeschakeld en de Lambda-functie deze tijdens runtime te laten ophalen. Secrets Manager is speciaal ontworpen voor het veilig opslaan en roteren van gevoelige informatie zoals databasecredentials. Door rotatie in te schakelen, worden de credentials automatisch elke twee weken bijgewerkt, zoals vereist. Omdat de Lambda-functie de credentials dynamisch ophaalt, hebben alle Lambda-versies, inclusief oudere, altijd toegang tot de meest recente credentials zonder dat de code opnieuw moet worden geïmplementeerd. Het insluiten van credentials in de Lambda-code is onveilig en vereist een herimplementatie bij elke wijziging. Het opslaan in omgevingsvariabelen is ook onveilig en vereist handmatige updates voor elke Lambda-versie. Hoewel Systems Manager Parameter Store credentials kan opslaan, biedt het geen ingebouwde automatische rotatie voor databasecredentials, wat Secrets Manager wel doet.