一个现有应用程序，其数据库凭证硬编码在代码中，并以主动-被动故障转移设置部署在两个区域。您必须将凭证从代码中移除，并满足灾难恢复策略。哪种解决方案最安全且满足多区域要求？

将凭证存储在 AWS Secrets Manager 中是最佳实践，因为它专为安全地存储和检索敏感信息而设计，支持自动轮换和细粒度访问控制。启用密钥复制到辅助区域满足了多区域灾难恢复要求，确保在主区域故障时，辅助区域的应用程序可以访问相同的凭证。应用程序使用基于区域的 ARN 确保它始终从当前活动区域的 Secrets Manager 中检索凭证。 将凭证存储在 Systems Manager Parameter Store 中虽然比硬编码好，但 Secrets Manager 提供了更高级的凭证管理功能，如自动轮换。将凭证存储在 S3 配置文件中安全性较低，因为 S3 桶主要用于对象存储，不提供 Secrets Manager 那样的凭证生命周期管理和加密功能。使用 Amazon EFS 存储配置文件不适合多区域部署，因为 EFS 是区域服务，跨区域访问会引入复杂性和延迟，且不提供凭证管理功能。