Una empresa automatiza el arranque de nuevas instancias EC2 utilizando plantillas de CloudFormation que ejecutan scripts que contienen valores sensibles. La solución debe integrarse con CloudFormation y gestionar de forma segura esos secretos. ¿Qué opción proporciona la integración más segura con CloudFormation?

La opción correcta es almacenar los valores sensibles como parámetros SecureString en AWS Systems Manager Parameter Store y referenciarlos dinámicamente desde CloudFormation. Parameter Store ofrece un almacenamiento seguro y centralizado para datos de configuración y secretos, con cifrado automático mediante AWS KMS para SecureStrings. CloudFormation puede recuperar estos valores en tiempo de ejecución, evitando que los secretos se codifiquen o se almacenen directamente en las plantillas. Las otras opciones son menos seguras o prácticas: Cifrar plantillas de CloudFormation con KMS no protege los valores sensibles una vez que la plantilla se procesa, y los parámetros de CloudFormation no están diseñados para secretos. Almacenar secretos en S3 requiere gestionar permisos de S3 y el acceso durante el arranque, lo que puede ser complejo y menos seguro que Parameter Store. Amazon EFS no es un servicio diseñado para almacenar secretos de forma segura y centralizada para aplicaciones, y su uso para este fin añadiría complejidad innecesaria.