Um administrador SysOps deve proteger as credenciais de uma instância Amazon RDS que um modelo do CloudFormation criará. As credenciais devem ser armazenadas criptografadas e suportar rotação automática. Qual abordagem satisfaz esses requisitos?

A abordagem correta é usar AWS Secrets Manager para armazenar e gerenciar as credenciais do Amazon RDS. O Secrets Manager criptografa os segredos em repouso e em trânsito, e oferece rotação automática, atendendo aos requisitos de segurança e rotação. A referência dinâmica resolve:secretsmanager permite que o CloudFormation recupere esses segredos de forma segura e os injete no recurso AWS::RDS::DBInstance durante a criação. As outras opções são incorretas porque: resolve:ssm-secure não é uma referência dinâmica válida para Secrets Manager. AWS::SSM::Parameter (Parameter Store) pode armazenar credenciais, mas não oferece rotação automática nativa para credenciais de banco de dados, o que é um requisito. Declarar parâmetros de modelo expõe as credenciais diretamente no modelo ou na linha de comando, o que não é seguro e não suporta rotação automática.