BlueSky Retail uruchamia klaster Aurora PostgreSQL dla swojej usługi zamówień. Dział bezpieczeństwa wymaga automatycznej rotacji hasła użytkownika aplikacji co 30 dni, bez nadawania użytkownikowi aplikacji uprawnień ALTER USER ani ujawniania głównych poświadczeń aplikacjom. Jakie jest NAJBARDZIEJ odpowiednie rozwiązanie?

Poprawne rozwiązanie wykorzystuje AWS Secrets Manager do przechowywania zarówno hasła użytkownika aplikacji, jak i oddzielnego hasła superużytkownika. Włączenie rotacji dla wielu użytkowników w Secrets Manager dla Aurora PostgreSQL pozwala superużytkownikowi na rotację hasła użytkownika aplikacji co 30 dni, bez ujawniania poświadczeń głównych aplikacjom i bez nadawania użytkownikowi aplikacji uprawnień ALTER USER. To jest zgodne z wymaganiami bezpieczeństwa. Użycie uwierzytelniania bazy danych IAM nie spełnia wymogu rotacji hasła użytkownika aplikacji, ponieważ tokeny IAM są krótkotrwałe, ale nie zastępują rotacji hasła dla konta aplikacji. Przechowywanie poświadczeń w Parameter Store i użycie funkcji Lambda wymagałoby ręcznego zarządzania logiką rotacji i aktualizacji, co jest mniej optymalne niż wbudowana funkcja Secrets Manager. Włączenie rotacji dla pojedynczego użytkownika głównego i używanie go przez wszystkie usługi jest złym rozwiązaniem z punktu widzenia bezpieczeństwa, ponieważ narusza zasadę najmniejszych uprawnień i zwiększa ryzyko kompromitacji.