Компания использует функции AWS Lambda, которые должны подключаться к экземпляру базы данных Microsoft SQL Server на Amazon RDS. Существуют отдельные среды разработки и продакшена; разработчики могут получить доступ к учетным данным для разработки, но учетные данные для продакшена должны быть зашифрованы с использованием ключа, который могут использовать только члены группы IAM команды ИТ-безопасности. Ключ должен регулярно ротироваться. Что должен реализовать архитектор решений в продакшен-среде для удовлетворения этих требований?

Правильный ответ — использование AWS Secrets Manager. Он предназначен для безопасного хранения и ротации учетных данных, что соответствует требованиям к регулярной ротации ключа. Хранение секрета с помощью управляемого клиентом ключа AWS KMS обеспечивает необходимый контроль доступа, позволяя ограничить доступ только для команды ИТ-безопасности. Роли IAM для функций Lambda позволяют им безопасно извлекать секреты без жесткого кодирования учетных данных. Остальные варианты менее оптимальны: Использование AWS Systems Manager Parameter Store с SecureString не обеспечивает автоматическую ротацию учетных данных, что является ключевым требованием. Хранение учетных данных в переменных окружения Lambda, даже зашифрованных, не является лучшей практикой для конфиденциальных данных, требующих ротации, и может быть менее гибким в управлении. Использование ключа AWS KMS по умолчанию для Lambda не дает такого же уровня контроля, как управляемый клиентом ключ, и также не решает проблему автоматической ротации.