ある企業のデータエンジニアリングチームは、AWS Glue ETL ジョブから Amazon RDS for MySQL に接続しています。セキュリティ要件として、データベース認証情報を 30 日ごとに自動でローテーションし、Glue ジョブのコードを変更せずに常に最新の認証情報を参照できる構成が求められています。最も適切な実装はどれですか？
AWS Secrets Manager は認証情報の安全な保存・管理・自動ローテーションを専門とするサービスです。Amazon RDS との統合では、マネージドな Lambda ローテーション関数によってパスワードを定期的に自動更新できます。AWS Glue はネイティブの接続設定で Secrets Manager の ARN を直接参照する機能を持っており、ジョブ実行時に最新の認証情報を自動取得するためコード変更は不要です。30 日ごとの自動ローテーション要件を最小の運用負荷で満たせる構成です。 選択肢AのAWS Systems Manager Parameter Storeは SecureString での暗号化保存は可能ですが、ネイティブの自動ローテーション機能がなく、EventBridge + Lambda による自動化を別途構築する必要があり運用コストが増加します。 選択肢CのAmazon S3 + KMS による認証情報管理は暗号化は実現できますが、boto3 を使った取得ロジックをジョブコードに組み込む必要があり、コード変更なしで最新情報を参照するという要件を満たしません。 選択肢DのAmazon RDS の IAM データベース認証は永続的なパスワードを不要にする有効な手法ですが、AWS Glue からの利用には制限があり、すべての RDS エンジンバージョンやドライバで完全にサポートされているわけではありません。