部署管線中的 CodeBuild 階段需要資料庫憑證才能執行整合測試。公司政策強制要求所有資料庫憑證都必須自動輪換。哪種方法能以最少的操作負擔，安全地向建置提供輪換的憑證？

正確答案是透過連結到 AWS Secrets Manager secret 的環境變數提供憑證，並設定 Secrets Manager 進行自動輪換。AWS Secrets Manager 專為安全儲存和自動輪換資料庫憑證而設計，並能無縫整合到 CodeBuild 環境變數中。這符合公司政策中憑證自動輪換的要求，同時提供最小的操作負擔。將憑證硬編碼在 buildspec.yml 中是不安全的做法，因為這會將敏感資訊暴露在原始碼中。使用 SecureString Systems Manager 參數可以儲存憑證，但 Parameter Store 本身不提供自動輪換功能，需要額外的自訂解決方案。透過包含純文字連線字串的環境變數提供憑證是極不安全的，且 EventBridge 事件本身無法直接輪換憑證。