Производственная компания использует инстанс RDS для инвентаризации, и у нее есть несколько функций Lambda, которые подключаются к базе данных, используя жестко закодированные учетные данные. Учетные данные никогда не должны храниться в виде открытого текста и должны меняться каждые 30 дней. Какое решение обеспечивает это с наименьшими операционными издержками?

Правильный ответ — хранение учетных данных в AWS Secrets Manager. Secrets Manager разработан для безопасного хранения, управления и автоматической ротации секретов, таких как пароли баз данных, с минимальными операционными издержками. Он поддерживает автоматическую ротацию для RDS, используя встроенные функции ротации. Lambda-функции могут получать учетные данные из Secrets Manager по требованию, устраняя необходимость жесткого кодирования или ручного обновления. Неправильные варианты: Хранение пароля как переменной среды и ручная ротация с помощью Lambda-функции PasswordRotate требует значительных операционных издержек для обновления всех функций Lambda после каждой ротации. Шифрование пароля с помощью KMS и хранение в переменных среды все еще требует ручного обновления переменных среды после ротации, что увеличивает операционные издержки. Использование AWS Systems Manager Parameter Store как SecureString является улучшением безопасности, но не обеспечивает автоматическую ротацию паролей для RDS "из коробки", требуя создания дополнительной логики ротации.