Un desarrollador está creando un recurso personalizado de CloudFormation respaldado por una función Lambda para configurar un dominio de Amazon OpenSearch Service. La función Lambda debe usar las credenciales del usuario maestro interno de OpenSearch para acceder al dominio. ¿Cuál es la forma más segura de proporcionar estas credenciales a la función Lambda?

La opción correcta es la más segura porque Secrets Manager está diseñado específicamente para almacenar y rotar credenciales de forma segura. CloudFormation puede crear y referenciar el secreto para el dominio de OpenSearch, y la función Lambda puede recuperar el secreto en tiempo de ejecución utilizando un rol de IAM con permisos mínimos (secretsmanager:GetSecretValue), evitando que las credenciales se expongan en el código o en las variables de entorno. Pasar credenciales como parámetros de CloudFormation (incluso con NoEcho=true) o variables de entorno, o cifrarlas con KMS y almacenarlas directamente, es menos seguro. Aunque NoEcho oculta el valor en la consola, no lo cifra en reposo ni gestiona la rotación. Usar Parameter Store es mejor que parámetros directos, pero Secrets Manager ofrece características de seguridad más robustas, como la rotación automática.