Uma aplicação sendo executada no Amazon EC2 deve enviar uma mensagem de chat para a equipe de suporte da empresa quando detectar uma transação inválida. Para chamar a API de chat, ela precisa de um token de acesso que deve ser criptografado em repouso e em trânsito, e deve ser acessível a partir de outras contas da AWS. Qual abordagem atende a esses requisitos minimizando a sobrecarga de gerenciamento?

A opção correta é usar o AWS Secrets Manager. Ele é projetado especificamente para armazenar e gerenciar segredos, como tokens de acesso, oferecendo rotação automática, auditoria e criptografia em repouso e em trânsito. A criptografia com uma chave gerenciada pelo cliente (CMK) do AWS KMS proporciona controle adicional, e políticas baseadas em recursos permitem o acesso entre contas, atendendo a todos os requisitos. Armazenar em Systems Manager Parameter Store como SecureString é uma boa opção para parâmetros, mas Secrets Manager é mais robusto para segredos, com recursos adicionais como rotação automática. Armazenar em DynamoDB ou S3 exigiria gerenciamento manual da criptografia e descriptografia do token, além de não serem os serviços ideais para gerenciamento de segredos, aumentando a sobrecarga.