Uma empresa automatiza o bootstrapping de novas instâncias EC2 usando modelos do CloudFormation que executam scripts contendo valores confidenciais. A solução deve se integrar ao CloudFormation e gerenciar esses segredos com segurança. Qual opção oferece a integração mais segura com o CloudFormation?

A opção correta é armazenar os valores confidenciais como parâmetros SecureString no AWS Systems Manager Parameter Store e referenciá-los dinamicamente no CloudFormation. O Parameter Store SecureString criptografa os valores usando o AWS KMS, garantindo que os segredos sejam protegidos em repouso e em trânsito. O CloudFormation pode recuperar esses parâmetros no momento da implantação, injetando-os nos scripts de bootstrapping sem expor os segredos no modelo ou nos logs. Colocar valores confidenciais em parâmetros do CloudFormation e criptografar o modelo não é seguro, pois o CloudFormation não foi projetado para gerenciar segredos diretamente e a criptografia do modelo não protege os valores após a descriptografia para implantação. Armazenar em S3 não é ideal, pois exige gerenciamento de permissões e o objeto pode ser acessado se as permissões forem configuradas incorretamente. Armazenar em EFS não é a melhor prática para segredos, pois o EFS é um sistema de arquivos de rede e não um serviço de gerenciamento de segredos, e a criptografia posterior à criação não é o método mais seguro para dados sensíveis.