Um processo recupera automaticamente as credenciais de API para várias fontes bancárias e invoca uma função Lambda vinculada a um recurso personalizado do CloudFormation. O desenvolvedor deseja armazenar essas credenciais de API com o mínimo de sobrecarga operacional e o máximo de segurança. Qual abordagem é a mais segura e requer o menor esforço operacional?

A opção correta é chamar a API SSM PutParameter do Lambda para armazenar as credenciais como um parâmetro SecureString. Isso garante alta segurança, pois o AWS Systems Manager Parameter Store criptografa os dados com chaves KMS. A sobrecarga operacional é mínima, pois o Lambda gerencia a inserção e o Parameter Store cuida do armazenamento seguro, sem a necessidade de gerenciar chaves de criptografia ou rotação de segredos manualmente. As outras opções são menos ideais: Adicionar um recurso AWS Secrets Manager GenerateSecretString ao CloudFormation não é o ideal porque o Secrets Manager é mais adequado para segredos que precisam de rotação automática ou gerenciamento de ciclo de vida complexo, o que não é explicitamente solicitado aqui e adicionaria mais complexidade. Adicionar um recurso SSM Parameter Store ao modelo do CloudFormation e definir o valor com NoEcho exporia as credenciais no modelo, mesmo que ofuscadas, o que é uma falha de segurança. Chamar a API SSM PutParameter e definir NoEcho como true para o atributo do parâmetro não é uma opção válida, pois NoEcho é uma propriedade de CloudFormation para parâmetros de entrada, não um atributo de parâmetro do SSM Parameter Store. Além disso, não garante a criptografia dos dados em repouso como SecureString.