Ao revisar um modelo do AWS CloudFormation, um engenheiro de segurança encontra um parâmetro com um valor padrão que expõe uma chave de API de aplicação em texto simples. O valor é referenciado várias vezes no modelo. O engenheiro deve substituir o parâmetro, mantendo a capacidade de referenciar o valor em todo o modelo. Qual é a solução mais segura?

A solução mais segura é armazenar a chave de API no AWS Secrets Manager. O Secrets Manager é projetado especificamente para gerenciar segredos, oferecendo rotação automática, auditoria e controle de acesso granular. A sintaxe {{resolve:secretsmanager:MySecretId:SecretString}} permite que o CloudFormation resolva o segredo diretamente do Secrets Manager em tempo de implantação, sem expor o valor no modelo. Armazenar como SecureString no Parameter Store é uma boa opção para parâmetros sensíveis, mas o Secrets Manager é mais robusto para chaves de API devido aos recursos adicionais de gerenciamento de ciclo de vida. Armazenar no DynamoDB ou S3 não é seguro, pois esses serviços não são projetados para armazenar segredos de forma nativa e segura, exigindo configurações adicionais complexas para proteção e gerenciamento de acesso.