BlueSky Retail использует кластер Aurora PostgreSQL для своего сервиса заказов. Требования безопасности предписывают автоматическую смену пароля пользователя базы данных приложения каждые 30 дней без предоставления пользователю приложения привилегий ALTER USER и без раскрытия мастер-учетных данных приложениям. Какое решение является НАИБОЛЕЕ подходящим?

Правильный ответ — хранить секрет пользователя приложения и отдельный секрет суперпользователя в AWS Secrets Manager, затем включить ротацию для нескольких пользователей для Aurora PostgreSQL, используя суперпользователя для ротации пароля пользователя приложения по 30-дневному расписанию. Это решение соответствует всем требованиям: автоматическая ротация каждые 30 дней, без привилегий ALTER USER для пользователя приложения (поскольку ротацию выполняет суперпользователь) и без раскрытия мастер-учетных данных приложениям. AWS Secrets Manager поддерживает ротацию для нескольких пользователей, что идеально подходит для этого сценария. Неправильные варианты: Использование аутентификации IAM не решает проблему ротации паролей для пользователя приложения, так как требование явно касается смены пароля. Использование Parameter Store с Lambda требует создания и поддержки пользовательской логики ротации, тогда как Secrets Manager предлагает встроенное решение. Использование мастер-пользователя для всех сервисов нарушает принцип наименьших привилегий и создает единую точку отказа, что является плохой практикой безопасности.