Uma empresa deve seguir as melhores práticas de segurança ao implantar recursos a partir de um modelo do AWS CloudFormation. O modelo precisa configurar credenciais de banco de dados confidenciais. A empresa já usa o AWS Key Management Service (AWS KMS) e o AWS Secrets Manager. Qual solução atende aos requisitos?

A referência dinâmica no CloudFormation permite que você recupere segredos diretamente do AWS Secrets Manager no momento da implantação. Isso garante que as credenciais confidenciais nunca sejam armazenadas em texto simples no modelo do CloudFormation, seguindo o princípio de segurança de privilégio mínimo e separação de segredos. As outras opções são incorretas porque: Usar um parâmetro do CloudFormation para passar credenciais, mesmo com o modelo criptografado, ainda expõe as credenciais no histórico de parâmetros ou logs, o que não é uma prática recomendada para segredos. Um parâmetro SecureString no CloudFormation não existe; o CloudFormation usa parâmetros do SSM Parameter Store do tipo SecureString, mas a opção não especifica o SSM e a referência direta ao Secrets Manager é mais apropriada para segredos. Referenciar um valor criptografado no AWS KMS com um SecureString também não é a forma padrão de integrar segredos diretamente no CloudFormation; o Secrets Manager é o serviço projetado para gerenciar e recuperar segredos de forma segura.