Ein Unternehmen automatisiert das Bootstrapping neuer EC2-Instances mithilfe von CloudFormation-Templates, die Skripte mit sensiblen Werten ausführen. Die Lösung muss sich in CloudFormation integrieren und diese Secrets sicher verwalten. Welche Option bietet die sicherste Integration mit CloudFormation?

Die Speicherung sensibler Werte als SecureString-Parameter im AWS Systems Manager Parameter Store und der dynamische Verweis darauf in CloudFormation ist die sicherste Methode. SecureString verschlüsselt die Werte automatisch mit AWS KMS, und CloudFormation kann diese Parameter zur Laufzeit abrufen, ohne die Geheimnisse direkt in den Templates zu speichern. Das Ablegen sensibler Werte in CloudFormation-Parametern und das Verschlüsseln der Templates ist unsicher, da Parameter im Klartext in der CloudFormation-Konsole sichtbar sein können. Das Speichern in S3 erfordert eine manuelle Verwaltung der Zugriffsrechte und des Herunterladens, was fehleranfällig ist und die Geheimnisse potenziell offenlegt. Amazon EFS ist ein Dateisystem und nicht primär für die sichere Speicherung von Secrets konzipiert; es erfordert ebenfalls eine komplexe Verwaltung von Zugriffsrechten und ist für diesen Anwendungsfall überdimensioniert.