Firma uruchamia aplikację płatniczą na instancjach Amazon EC2 za Application Load Balancerem. Instancje EC2 znajdują się w grupie Auto Scaling w wielu Strefach Dostępności. Aplikacja musi pobierać sekrety podczas uruchamiania i eksportować je jako zmienne środowiskowe. Sekrety muszą być zaszyfrowane w spoczynku i rotowane co miesiąc. Które rozwiązanie spełnia te wymagania przy najmniejszym wysiłku deweloperskim?

Prawidłowa odpowiedź to przechowywanie sekretów w AWS Secrets Manager. Secrets Manager jest zaprojektowany do bezpiecznego przechowywania, zarządzania i rotacji sekretów, spełniając wszystkie wymagania: szyfrowanie w spoczynku (za pomocą klucza KMS zarządzanego przez klienta), automatyczną rotację co miesiąc oraz łatwe pobieranie przez aplikację podczas uruchamiania (za pomocą skryptu user data EC2). Pozostałe opcje są mniej optymalne. Przechowywanie w pliku tekstowym na S3 wymagałoby ręcznego zarządzania rotacją i szyfrowaniem, a S3 Object Lambda nie jest przeznaczone do rotacji zawartości pliku. Systems Manager Parameter Store nie oferuje wbudowanej automatycznej rotacji, co wymagałoby dodatkowego wysiłku deweloperskiego. Osadzanie sekretów w kodzie aplikacji jest niezgodne z najlepszymi praktykami bezpieczeństwa i utrudnia rotację.