Uma equipe precisa armazenar com segurança chaves de licença únicas e fixas que devem ser acessadas por scripts de automação executados em instâncias EC2 e por stacks do CloudFormation. Qual opção econômica eles devem usar?

A opção mais econômica e segura é usar parâmetros SecureString do AWS Systems Manager Parameter Store. O Parameter Store é gratuito para parâmetros padrão e SecureString criptografa os valores usando o AWS Key Management Service (KMS), garantindo a segurança das chaves de licença. Ele se integra nativamente com instâncias EC2 (via IAM roles) e CloudFormation, facilitando o acesso. Armazenar arquivos criptografados no Amazon S3 não é a melhor prática para segredos, pois o gerenciamento de acesso e a rotação são mais complexos. O AWS Secrets Manager é uma boa opção para segredos, mas é mais caro que o Parameter Store para este caso de chaves fixas e únicas, pois o Secrets Manager é otimizado para rotação automática e gerenciamento de credenciais de banco de dados/API. Parâmetros NoEcho do CloudFormation são para entrada de parâmetros durante a criação da stack e não para armazenamento seguro de segredos de longo prazo.