Ein Unternehmen muss bei der Bereitstellung von Ressourcen aus einer AWS CloudFormation-Vorlage bewährte Sicherheitspraktiken befolgen. Die Vorlage muss vertrauliche Datenbankanmeldeinformationen konfigurieren. Das Unternehmen verwendet bereits AWS Key Management Service (AWS KMS) und AWS Secrets Manager. Welche Lösung erfüllt die Anforderungen?

Die Verwendung einer dynamischen Referenz in der CloudFormation-Vorlage ist die korrekte Methode, um vertrauliche Daten wie Datenbankanmeldeinformationen sicher aus AWS Secrets Manager abzurufen. Dies stellt sicher, dass die Anmeldeinformationen niemals direkt in der CloudFormation-Vorlage oder im Stack-Template im Klartext gespeichert werden. Ein CloudFormation-Parameter ist nicht sicher genug, da die Werte im Klartext in den Stack-Ereignissen und der Konsole sichtbar sein können. Das Verschlüsseln der Vorlage mit AWS KMS schützt nicht die Parameterwerte selbst. Ein SecureString-Parameter in CloudFormation ist für AWS Systems Manager Parameter Store gedacht, nicht für Secrets Manager. Das Verweisen auf einen verschlüsselten Wert in AWS KMS über einen SecureString-Parameter ist ebenfalls nicht der vorgesehene Weg, um Geheimnisse sicher in CloudFormation zu integrieren.