Un administrador de SysOps debe proteger las credenciales de una instancia de Amazon RDS que creará una plantilla de CloudFormation. Las credenciales deben almacenarse cifradas y admitir la rotación automática. ¿Qué enfoque satisface estos requisitos?

La opción correcta es definir un recurso AWS::SecretsManager::Secret y usar resolve:secretsmanager. AWS Secrets Manager está diseñado para almacenar, gestionar y rotar credenciales de forma segura, incluyendo las de bases de datos, y soporta cifrado y rotación automática. La referencia dinámica resolve:secretsmanager permite a CloudFormation recuperar el secreto directamente de Secrets Manager en tiempo de despliegue. La opción de resolve:ssm-secure es incorrecta porque, aunque AWS Systems Manager Parameter Store puede almacenar parámetros seguros, Secrets Manager es el servicio específico para la rotación automática de credenciales de base de datos. Definir un recurso AWS::SSM::Parameter con resolve:ssm es incorrecto porque Parameter Store no ofrece rotación automática de credenciales de forma nativa como Secrets Manager. Declarar parámetros de plantilla para el nombre de usuario y la contraseña es incorrecto porque expone las credenciales en la plantilla o en los parámetros de entrada, lo cual no es seguro y no permite la rotación automática.