Al revisar una plantilla de AWS CloudFormation, un ingeniero de seguridad encuentra un parámetro con un valor predeterminado que expone una clave API de la aplicación en texto plano. El valor se referencia varias veces en la plantilla. El ingeniero debe reemplazar el parámetro, manteniendo la capacidad de referenciar el valor en toda la plantilla. ¿Cuál es la solución más segura?

La opción correcta es almacenar la clave API en AWS Secrets Manager y referenciarla en la plantilla de CloudFormation. Secrets Manager está diseñado específicamente para almacenar y gestionar secretos de forma segura, ofreciendo rotación automática, cifrado y control de acceso granular. La sintaxis {{resolve:secretsmanager:MySecretId:SecretString}} permite a CloudFormation recuperar el secreto directamente de Secrets Manager durante el despliegue. Almacenar la clave como un parámetro SecureString en Systems Manager Parameter Store es una buena opción para datos sensibles, pero Secrets Manager ofrece características adicionales para secretos, como la rotación automática, que lo hacen más adecuado para claves API. Almacenar la clave en Amazon DynamoDB o un bucket de Amazon S3 no son las soluciones más seguras para claves API. Aunque se pueden implementar controles de seguridad, estas opciones no están diseñadas específicamente para la gestión de secretos y carecen de las características de seguridad inherentes de Secrets Manager. Además, la sintaxis de resolución para DynamoDB y S3 no es la apropiada para este caso de uso.