AWS DocumentDB上的密码轮换

Question

我们有一个本地服务，我们希望移至AWS。

我正在研究移动它的可能性，并且不确定密码的轮换和存储。我知道Secrets Manager可以很好地与RDS一起使用，但是我不确定它是否适合DocumentDB

在设置新的DocumentDB集群（使用CF模板）时，它需要一个主用户名和密码。为该CF模板生成密码的最佳方法是什么？可以使用secretsmanager：GetRandomPassword来完成此操作吗？

Answer 1

如果您将Secrets Manager与RDS一起使用，它也应该与DocumentDB一起使用。虽然Secret Manager并不声称支持DocumentDB，但它们确实具有MongoDB [1]的旋转lambda代码。鉴于DocumentDB使用与MongoDB（SCRAM-SHA-1）相同的身份验证协议，从理论上讲，您应该能够按原样使用秘密管理器MongoDB lambda worker。

[1] https://github.com/aws-samples/aws-secrets-manager-rotation-lambdas/blob/master/SecretsManagerMongoDBRotationSingleUser/lambda_function.py

Answer 2

AWS Secrets Manager现在支持与Amazon DocumentDB的本机集成：https://aws.amazon.com/blogs/security/how-to-rotate-amazon-documentdb-and-amazon-redshift-credentials-in-aws-secrets-manager/