BlueSky Retail 針對其訂單服務執行 Aurora PostgreSQL 叢集。安全性要求應用程式使用者的資料庫密碼每 30 天自動輪換一次，且不授予應用程式使用者 ALTER USER 權限或將主要憑證暴露給應用程式。最適合的解決方案是什麼？

此選項是最佳解決方案，因為它符合所有要求。AWS Secrets Manager 支援 Aurora PostgreSQL 的多使用者輪換。這允許您儲存應用程式使用者密碼和一個單獨的超級使用者密碼。Secrets Manager 會使用超級使用者憑證來輪換應用程式使用者的密碼，而無需將 ALTER USER 權限授予應用程式本身，也不會將主要憑證暴露給應用程式。排程輪換可確保每 30 天自動更新密碼。 IAM 資料庫驗證雖然安全，但並非密碼輪換的解決方案，且可能不符合應用程式現有的連接方式。使用 Systems Manager Parameter Store 和 Lambda 函數是可行的，但 Secrets Manager 提供了更整合且專為此目的設計的解決方案，減少了自訂程式碼的需求。啟用主要使用者密碼的單一使用者輪換不符合最小權限原則，因為它會讓所有服務都使用具有高權限的主要使用者，這不是一個安全的做法。