Bir şirket, Amazon RDS üzerindeki bir Microsoft SQL Server DB örneğine bağlanması gereken AWS Lambda işlevlerini kullanır. Ayrı geliştirme ve üretim ortamları vardır; geliştiriciler geliştirme kimlik bilgilerine erişebilir, ancak üretim kimlik bilgileri yalnızca BT güvenlik ekibinin IAM grubundaki üyelerin kullanabileceği bir anahtarla şifrelenmelidir. Anahtar düzenli olarak döndürülmelidir. Bir çözümler mimarı, bu gereksinimleri karşılamak için üretim ortamında ne uygulamalıdır?

Doğru cevap, üretim veritabanı kimlik bilgilerini AWS Secrets Manager'da bir AWS KMS müşteri tarafından yönetilen anahtar kullanarak depolamaktır. Secrets Manager, kimlik bilgilerini güvenli bir şekilde saklamak ve düzenli rotasyonunu otomatikleştirmek için tasarlanmıştır, bu da gereksinimlerden biridir. Lambda işlevleri, IAM rolleri aracılığıyla bu sırlara erişebilir. BT güvenlik ekibinin erişimi, sırra ve KMS anahtarına uygulanan sıkı IAM politikalarıyla kısıtlanabilir. Diğer seçenekler neden yanlış: AWS Systems Manager Parameter Store'daki SecureString, rotasyonu otomatikleştirmez ve Secrets Manager'ın sunduğu özel kimlik bilgisi yönetimi özelliklerine sahip değildir. Lambda ortam değişkenlerinde kimlik bilgilerini depolamak, KMS ile şifrelense bile, Secrets Manager'ın sağladığı merkezi yönetim ve rotasyon yeteneklerinden yoksundur ve güvenlik açısından daha az tercih edilen bir yöntemdir. Lambda ortam değişkenlerinde şifrelenmiş kimlik bilgileri depolamak, yine rotasyon gereksinimini karşılamaz ve Secrets Manager'ın sunduğu güvenlik ve yönetim avantajlarını sağlamaz.