あるチームがAWS Secrets ManagerにMongoDBデータベース（Secrets Managerマネージドローテーション非対応）のパスワードを保存しており、コンプライアンス要件に従い30日ごとの自動ローテーションを設定しようとしています。自動ローテーションを正しく動作させるために必須の設定はどれですか？
Secrets Managerのローテーション方式は2種類あります。 ①AWSマネージドローテーション：RDS・Redshift・DocumentDBなどのサポート対象サービスでは、AWSが自動的にLambda関数を作成・管理するため、ユーザーがLambdaを実装・指定する必要はありません。 ②カスタムローテーション：MongoDBなどのサポート対象外サービスやカスタム要件では、createSecret（新バージョン生成）・setSecret（サービスへの適用）・testSecret（動作確認）・finishSecret（バージョン切り替え）の4ステップを実装したLambda関数を用意し、Lambda ARNをSecrets Managerのローテーション設定に指定する必要があります。DVA試験ではこのLambdaベースのローテーション機構（4ステップ）の理解が重要です。 選択肢AはAWSマネージドローテーション対応サービス（RDS等）ではコンソール設定のみで有効ですが、MongoDBのようなカスタムローテーションが必要なケースでは実際のパスワード更新が行われず機能しません。 選択肢CのEventBridgeでRotateSecret APIを呼び出す方式は、ローテーションロジック自体を実行するLambdaの代替にはなりません。 選択肢DのMongoDBレプリカセットの設定はデータベースの冗長化機能であり、パスワードの自動ローテーションとは無関係です。