Крупное предприятие развертывает веб-приложение на инстансах EC2 за ALB с Auto Scaling в нескольких AZ. Приложение использует Amazon RDS for Oracle и DynamoDB, и существуют среды dev, test и prod. Какой метод получения учетных данных во время развертывания является наиболее безопасным и гибким?

Правильный ответ — запуск инстансов EC2 с ролью инстанса для получения разрешений AWS и извлечение учетных данных базы данных из AWS Secrets Manager. Использование ролей инстансов EC2 — это рекомендуемый и наиболее безопасный способ предоставления разрешений AWS приложениям, работающим на EC2, поскольку он исключает необходимость хранения ключей доступа на инстансах. AWS Secrets Manager предназначен для безопасного хранения, управления и ротации учетных данных базы данных, API-ключей и других секретов, обеспечивая централизованное управление и аудит. Неправильные варианты: Хранение ключей доступа в параметре Systems Manager SecureString для доступа к AWS API, хотя и безопасно для хранения, не так гибко и безопасно, как использование ролей инстансов EC2, поскольку требует управления ключами. Хранение ключа доступа в текстовом параметре Systems Manager небезопасно, так как текст не шифруется. Хранение паролей базы данных в зашифрованном файле конфигурации, поставляемом с артефактами приложения, менее безопасно и гибко, чем использование Secrets Manager, поскольку затрудняет ротацию и централизованное управление секретами.