ある企業が、Lambda 関数から Amazon RDS for MySQL へ接続するアーキテクチャを構築している。データベースのパスワードを安全に管理し、定期的に自動ローテーションしたい。Lambda 関数のコード変更を最小限に抑えながら、この要件を実現する最も適切な方法はどれか。

1. A. データベースパスワードを Lambda 関数の環境変数に平文で設定し、IAM ポリシーで Lambda 関数のみがアクセスできるように制限する。
2. B. Amazon Cognito でデータベースユーザーを管理し、JWT トークンを使って RDS に認証する。
3. C. AWS Secrets Manager にデータベース認証情報を保存し、Lambda 関数実行時に Secrets Manager API で認証情報を取得する。自動ローテーション機能を有効化して定期的にパスワードを更新する。
4. D. AWS Systems Manager Parameter Store（SecureString）にパスワードを保存し、Lambda 関数から取得する。ローテーションは手動で行う。