Um desenvolvedor está criando um recurso personalizado do CloudFormation, suportado por uma função Lambda, para configurar um domínio do Amazon OpenSearch Service. O Lambda deve usar as credenciais do usuário mestre interno do OpenSearch para acessar o domínio. Qual é a maneira mais segura de fornecer essas credenciais para a função Lambda?

A opção correta utiliza o AWS Secrets Manager, que é o serviço mais seguro para armazenar e gerenciar credenciais sensíveis. Criar um segredo via CloudFormation e referenciá-lo dinamicamente garante que as credenciais nunca sejam expostas em texto simples nos templates ou logs. A função Lambda obtém permissões secretsmanager:GetSecretValue para recuperar o segredo em tempo de execução, seguindo o princípio do menor privilégio. As outras opções são menos seguras: Passar credenciais diretamente como parâmetros do CloudFormation, mesmo com NoEcho=true, não é ideal, pois os valores podem ser acessíveis em logs ou históricos de revisão. Usar o Systems Manager Parameter Store é melhor que parâmetros diretos, mas o Secrets Manager oferece recursos adicionais de segurança, como rotação automática e integração com KMS, tornando-o superior para credenciais. Criptografar o valor do parâmetro com KMS ainda expõe o valor criptografado, e o Secrets Manager gerencia a criptografia e o acesso de forma mais robusta.