Firma używa funkcji AWS Lambda, które muszą łączyć się z instancją bazy danych Microsoft SQL Server na Amazon RDS. Istnieją oddzielne środowiska deweloperskie i produkcyjne; deweloperzy mogą uzyskiwać dostęp do poświadczeń deweloperskich, ale poświadczenia produkcyjne muszą być zaszyfrowane przy użyciu klucza, którego może używać tylko grupa IAM zespołu bezpieczeństwa IT. Klucz musi być regularnie rotowany. Co powinien wdrożyć architekt rozwiązań w środowisku produkcyjnym, aby spełnić te wymagania?

Prawidłowa odpowiedź to przechowywanie poświadczeń w AWS Secrets Manager. Secrets Manager jest przeznaczony do bezpiecznego przechowywania i zarządzania poufnymi danymi, takimi jak poświadczenia baz danych, i oferuje wbudowaną funkcję automatycznej rotacji, co spełnia wymóg regularnej rotacji. Użycie klucza zarządzanego przez klienta AWS KMS pozwala na precyzyjną kontrolę dostępu, ograniczając go tylko do zespołu bezpieczeństwa IT. Funkcje Lambda mogą pobierać te poświadczenia za pomocą ról IAM, co jest bezpieczną i zalecaną praktyką. Pozostałe opcje są mniej odpowiednie: AWS Systems Manager Parameter Store (SecureString) nie oferuje wbudowanej automatycznej rotacji poświadczeń, co jest kluczowym wymogiem. Przechowywanie zaszyfrowanych poświadczeń bezpośrednio w zmiennych środowiskowych funkcji Lambda jest mniej bezpieczne i trudniejsze w zarządzaniu, zwłaszcza w kontekście rotacji. Ponadto, domyślny klucz Lambda AWS KMS może nie spełniać wymogów kontroli dostępu dla zespołu bezpieczeństwa IT.