Você implanta um aplicativo em instâncias EC2 via CodeCommit e CodePipeline. O aplicativo requer credenciais de banco de dados confidenciais nas instâncias. Quais soluções armazenam e recuperam esses segredos da forma mais segura? (Escolha duas.)

As duas opções corretas, AWS Secrets Manager e AWS Systems Manager Parameter Store (com strings seguras), são as mais seguras porque são serviços projetados especificamente para armazenar e gerenciar segredos. Eles oferecem criptografia em repouso e em trânsito, controle de acesso granular (IAM), rotação de credenciais e auditoria. O aplicativo busca esses segredos na inicialização, garantindo que não sejam armazenados diretamente no código ou em arquivos de configuração estáticos. As opções incorretas são menos seguras: Usar uma função Lambda para injetar variáveis de ambiente pode adicionar complexidade e não é o propósito principal do Lambda para gerenciamento de segredos persistentes. Armazenar segredos em um arquivo em instâncias EC2, mesmo com volumes criptografados via KMS, ainda expõe os segredos no sistema de arquivos e requer gerenciamento manual de arquivos. Colocar segredos em um arquivo de texto simples em um bucket S3 é altamente inseguro, pois o S3 não é um serviço de gerenciamento de segredos e o arquivo estaria vulnerável a acesso não autorizado se as permissões não forem rigorosamente controladas, além de não oferecer rotação automática.