Требование соответствия обязывает менять пароли администратора для инстансов RDS DB не реже одного раза в год. Какой подход соответствует этому требованию с наименьшими операционными издержками?

Правильный ответ — хранить учетные данные БД в AWS Secrets Manager и включить автоматическую ротацию каждые 365 дней. AWS Secrets Manager специально разработан для безопасного хранения и автоматической ротации секретов, включая пароли баз данных, с минимальными операционными издержками. Он поддерживает интеграцию с RDS для бесшовной ротации. Размещение учетных данных в группе параметров RDS и использование триггера БД для ротации не является стандартным или безопасным подходом для управления паролями администратора. Группы параметров предназначены для конфигурации, а не для хранения секретов, и триггеры БД не подходят для этой задачи. Хранение учетных данных в приватном S3 bucket и запуск Lambda для генерации новых учетных данных — это возможно, но требует значительных усилий по разработке и поддержке пользовательской логики ротации, что увеличивает операционные издержки по сравнению с Secrets Manager. Сохранение учетных данных в Systems Manager Parameter Store как secure string и настройка автоматической ротации для параметра не является опцией, так как Parameter Store не имеет встроенной функции автоматической ротации для паролей баз данных, в отличие от Secrets Manager.