Firma produkcyjna używa instancji RDS do zarządzania zapasami i posiada kilka funkcji Lambda, które łączą się z bazą danych, używając zaszytych na stałe poświadczeń. Poświadczenia nigdy nie mogą być przechowywane w postaci zwykłego tekstu i muszą być zmieniane co 30 dni. Które rozwiązanie zapewnia to z najmniejszym obciążeniem operacyjnym?

Poprawna odpowiedź to przechowywanie poświadczeń w AWS Secrets Manager. Secrets Manager jest zaprojektowany do bezpiecznego przechowywania i automatycznej rotacji poświadczeń, w tym tych dla baz danych RDS. Umożliwia on łatwe konfigurowanie rotacji haseł, co spełnia wymóg zmiany co 30 dni, minimalizując obciążenie operacyjne. Funkcje Lambda mogą następnie pobierać aktualne poświadczenia z Secrets Manager w czasie rzeczywistym, eliminując potrzebę ręcznej aktualizacji. Pozostałe opcje są mniej optymalne: Zapisywanie hasła jako zmiennej środowiskowej i ręczna rotacja za pomocą funkcji Lambda PasswordRotate wymagałoby zarządzania logiką rotacji i aktualizacji wszystkich funkcji Lambda, co jest bardziej skomplikowane i podatne na błędy. Szyfrowanie hasła za pomocą KMS i przechowywanie go jako zmiennej środowiskowej nadal wymagałoby ręcznej rotacji i aktualizacji zmiennych środowiskowych we wszystkich funkcjach Lambda, co nie jest skalowalne. Użycie AWS Systems Manager Parameter Store jako SecureString jest lepsze niż zmienne środowiskowe, ale nadal wymagałoby stworzenia i zarządzania własną logiką rotacji haseł, podczas gdy Secrets Manager oferuje to jako wbudowaną funkcjonalność.