BlueSky Retail, sipariş hizmeti için bir Aurora PostgreSQL kümesi kullanıyor. Güvenlik, uygulama kullanıcısının veritabanı parolasının her 30 günde bir otomatik olarak döndürülmesini, ancak uygulama kullanıcısına ALTER USER ayrıcalıkları verilmeden veya ana kimlik bilgilerinin uygulamalara ifşa edilmeden yapılmasını gerektiriyor. EN uygun çözüm nedir?

Doğru cevap, AWS Secrets Manager'da bir uygulama kullanıcısı secret'ı ve ayrı bir superuser secret'ı depolamak ve ardından superuser'ı kullanarak uygulama kullanıcısının parolasını 30 günlük bir zamanlamayla döndürmek için Aurora PostgreSQL için çok kullanıcılı rotasyonu etkinleştirmektir. Bu yöntem, uygulama kullanıcısına ALTER USER ayrıcalıkları vermeden veya ana kimlik bilgilerini uygulamalara ifşa etmeden parola rotasyonu gereksinimlerini karşılar. Secrets Manager'ın çok kullanıcılı rotasyon özelliği, bir ana kullanıcı (superuser) aracılığıyla diğer kullanıcıların parolalarını güvenli bir şekilde yönetmeyi ve döndürmeyi sağlar. Yanlış seçenekler: IAM veritabanı kimlik doğrulaması, token'lar kısa ömürlü olsa da, mevcut parola rotasyonu gereksinimini doğrudan karşılamaz ve uygulama kullanıcısının parola rotasyonu ihtiyacını ortadan kaldırmaz. AWS Systems Manager Parameter Store ile bir Lambda işlevi kullanmak, manuel bir çözüm gerektirir ve Secrets Manager'ın yerleşik otomatik rotasyon yetenekleri kadar verimli veya güvenli değildir. Tek kullanıcılı rotasyonu etkinleştirmek ve tüm hizmetlerin ana kullanıcıyı kullanmasını sağlamak, en az ayrıcalık ilkesini ihlal eder ve güvenlik risklerini artırır, çünkü tüm uygulamalar aynı yüksek ayrıcalıklı kullanıcıyı kullanır.