Un proceso recupera automáticamente las credenciales de la API para múltiples fuentes bancarias e invoca una función Lambda vinculada a un recurso personalizado de CloudFormation. El desarrollador desea almacenar estas credenciales de la API con una sobrecarga operativa mínima y la máxima seguridad. ¿Qué enfoque es el más seguro y requiere el menor esfuerzo operativo?

La opción correcta es almacenar las credenciales como un parámetro SecureString en SSM Parameter Store desde la función Lambda. Esto proporciona la máxima seguridad al cifrar las credenciales con AWS KMS y tiene una sobrecarga operativa mínima, ya que la función Lambda maneja el almacenamiento directamente. Las otras opciones son menos adecuadas: Agregar un recurso GenerateSecretString a CloudFormation no es ideal porque las credenciales se recuperan de fuentes externas, no se generan. Agregar un recurso de SSM Parameter Store a la plantilla de CloudFormation con NoEcho no es seguro para credenciales dinámicas, ya que el valor se expondría en la plantilla o en los logs de CloudFormation. Almacenar las credenciales con NoEcho en la API PutParameter no garantiza el cifrado de las credenciales en reposo, lo cual es fundamental para la seguridad. NoEcho solo oculta el valor en la consola o en la salida, no lo cifra.