Istniejąca aplikacja z zakodowanymi na stałe poświadczeniami bazy danych jest wdrożona w dwóch regionach w konfiguracji przełączania awaryjnego active-passive. Musisz przenieść poświadczenia poza kod i spełnić strategię odzyskiwania po awarii. Które rozwiązanie jest NAJBEZPIECZNIEJSZE i spełnia wymagania dotyczące wielu regionów?

Poprawna odpowiedź to przechowywanie poświadczeń w AWS Secrets Manager w regionie podstawowym i włączenie replikacji sekretów do regionu pomocniczego. Secrets Manager jest zaprojektowany do bezpiecznego przechowywania i zarządzania poufnymi danymi, takimi jak poświadczenia bazy danych, oferując automatyczną rotację, szczegółowe uprawnienia i szyfrowanie. Replikacja sekretów między regionami zapewnia dostępność poświadczeń w przypadku awarii regionu podstawowego, co jest kluczowe dla strategii odzyskiwania po awarii active-passive. Aktualizacja aplikacji, aby używała ARN opartych na regionie, pozwala na dynamiczne pobieranie odpowiednich poświadczeń w zależności od aktywnego regionu. Pozostałe opcje są mniej bezpieczne lub nie spełniają wszystkich wymagań: AWS Systems Manager Parameter Store może przechowywać poświadczenia, ale Secrets Manager oferuje bardziej zaawansowane funkcje bezpieczeństwa, takie jak automatyczna rotacja. Przechowywanie poświadczeń w pliku konfiguracyjnym w S3 jest mniej bezpieczne niż dedykowane usługi do zarządzania sekretami i wymaga dodatkowych mechanizmów szyfrowania i zarządzania dostępem. Amazon EFS nie jest odpowiednim rozwiązaniem do przechowywania poświadczeń ze względu na jego przeznaczenie jako sieciowy system plików, a nie bezpieczny magazyn sekretów.