Вращение пароля на AWS DocumentDB

Question

У нас есть локальный сервис, который мы хотим перевести на AWS.

Я изучаю возможность его перемещения и не уверен насчет ротации и хранения пароля. Я знаю, что Secrets Manager вполне может использоваться с RDS, но я не уверен, насколько он подходит для DocumentDB

При настройке нового кластера DocumentDB (с использованием шаблонов CF) требуется главное имя пользователя и пароль. Каков наилучший подход к генерации пароля для этого шаблона CF? Может ли это быть сделано с помощью администратора секретов:GetRandomPassword или это плохая практика?

Answer 1

Если вы использовали Secrets Manager с RDS, он должен подойти и для DocumentDB. Хотя Secret Manager не претендует на поддержку DocumentDB, у них есть лямбда-код ротации для MongoDB[1]. Учитывая, что DocumentDB использует тот же протокол аутентификации, что и MongoDB (SCRAM-SHA-1), теоретически вы должны иметь возможность использовать секретный менеджер MongoDB lambda worker как есть.

[1] https://github.com/aws-samples/aws-secrets-manager-rotation-lambdas/blob/master/SecretsManagerMongoDBRotationSingleUser/lambda_function.py

Answer 2

Менеджер секретов AWS теперь поддерживает встроенную интеграцию с Amazon DocumentDB: https://aws.amazon.com/blogs/security/how-to-rotate-amazon-documentdb-and-amazon-redshift-credentials-in-aws-secrets-manager/