Ein SysOps-Administrator muss die Anmeldeinformationen für eine Amazon RDS-Instance schützen, die eine CloudFormation-Vorlage erstellen wird. Die Anmeldeinformationen müssen verschlüsselt gespeichert werden und die automatische Rotation unterstützen. Welcher Ansatz erfüllt diese Anforderungen?

Die Definition einer AWS::SecretsManager::Secret-Ressource in CloudFormation und die Verwendung der dynamischen Referenz resolve:secretsmanager erfüllt die Anforderungen. AWS Secrets Manager ist speziell für die sichere Speicherung und automatische Rotation von Anmeldeinformationen konzipiert, was die Sicherheit erhöht und manuelle Eingriffe reduziert. Die dynamische Referenz ermöglicht es, diese Geheimnisse direkt in der RDS-Ressource zu nutzen, ohne sie im Klartext in der Vorlage zu exponieren. Die Option mit resolve:ssm-secure ist falsch, da resolve:secretsmanager die korrekte Syntax für Secrets Manager ist. Die Option mit AWS::SSM::Parameter und resolve:ssm ist unzureichend, da AWS Systems Manager Parameter Store zwar sichere Speicherung bietet, aber keine automatische Rotation von Anmeldeinformationen für Datenbanken unterstützt. Die Verwendung von Vorlagenparametern und der intrinsischen Funktion Ref ist unsicher, da die Anmeldeinformationen dann im Klartext in der Vorlage oder in den CloudFormation-Ereignissen sichtbar wären und keine Rotation unterstützt wird.