В AWS Secrets Manager есть замечательная функция: автоматическая ротация. Вы подключаете Lambda-функцию для ротации, устанавливаете расписание, и каждые 30 дней ваш пароль RDS автоматически меняется. Безопасно по умолчанию, без участия человека.Есть только одна проблема, и о ней никто не упоминает в демонстрации: ваше приложение понятия не имеет, что это произошло.