Этап CodeBuild в конвейере развертывания нуждается в учетных данных базы данных для запуска интеграционных тестов. Политика компании предписывает автоматическую ротацию всех учетных данных базы данных. Какой метод безопасно предоставляет ротируемые учетные данные для сборки с наименьшими операционными издержками?

Использование AWS Secrets Manager — это наиболее безопасный и эффективный способ управления ротируемыми учетными данными. Secrets Manager позволяет хранить конфиденциальную информацию, такую как учетные данные базы данных, и автоматически ротировать их по заданному расписанию без необходимости вмешательства человека. CodeBuild может безопасно получать эти секреты во время сборки, используя переменные среды, связанные с Secrets Manager. Жесткое кодирование учетных данных в buildspec.yml (вариант 1) является небезопасным и нарушает принцип наименьших привилегий. Использование Lambda для ротации добавляет ненужную сложность. Использование SecureString Systems Manager Parameter Store (вариант 2) позволяет хранить секреты, но не предоставляет встроенной автоматической ротации для учетных данных базы данных, что потребовало бы дополнительной настройки. Предоставление учетных данных в виде открытого текста (вариант 4) крайне небезопасно и неприемлемо для конфиденциальной информации.