Wiele funkcji Lambda pobiera wiadomości z tematu SNS i zapisuje je w bazie danych Amazon Aurora. Polityka firmy wymaga, aby wszystkie funkcje Lambda używały jednego, bezpiecznie zaszyfrowanego ciągu połączenia z bazą danych. Które rozwiązanie spełnia ten wymóg?

Przechowywanie poświadczeń bazy danych w AWS Systems Manager Parameter Store jako parametr SecureString to najlepsze rozwiązanie, ponieważ zapewnia bezpieczne, scentralizowane zarządzanie wrażliwymi danymi, takimi jak ciągi połączeń. SecureString wykorzystuje AWS KMS do szyfrowania wartości parametru, zapewniając zgodność z polityką firmy dotyczącą bezpiecznego szyfrowania. Funkcje Lambda mogą programowo pobierać ten parametr, co ułatwia rotację poświadczeń i utrzymanie spójności. Włączenie uwierzytelniania bazy danych IAM dla Aurora jest bezpieczne, ale nie rozwiązuje problemu jednego, bezpiecznie zaszyfrowanego ciągu połączenia, ponieważ funkcje nadal potrzebują mechanizmu do zarządzania poświadczeniami IAM. Przechowywanie poświadczeń na zaszyfrowanej instancji bazy danych Amazon RDS jest niepraktyczne i stanowi ryzyko bezpieczeństwa, ponieważ funkcje Lambda musiałyby najpierw połączyć się z inną bazą danych, aby uzyskać dostęp do poświadczeń. Umieszczenie poświadczeń w zmiennych środowiskowych Lambda, nawet zaszyfrowanych, jest mniej bezpieczne niż Parameter Store, ponieważ zmienne środowiskowe są powiązane z konkretną funkcją i ich zarządzanie w wielu funkcjach jest trudniejsze.