Una empresa debe seguir las mejores prácticas de seguridad al implementar recursos desde una plantilla de AWS CloudFormation. La plantilla necesita configurar credenciales de base de datos confidenciales. La empresa ya utiliza AWS Key Management Service (AWS KMS) y AWS Secrets Manager. ¿Qué solución cumple con los requisitos?

La referencia dinámica de CloudFormation permite recuperar secretos de AWS Secrets Manager directamente en la plantilla, asegurando que las credenciales sensibles nunca se almacenen en texto plano en la plantilla ni en los logs de CloudFormation. Esto sigue las mejores prácticas de seguridad al integrar Secrets Manager para la gestión de secretos. Las otras opciones son incorrectas porque: Pasar credenciales directamente como parámetros de CloudFormation, incluso si la plantilla se cifra, expone las credenciales en la plantilla o en el historial de la pila. Los parámetros SecureString no son una característica nativa de CloudFormation para referenciar Secrets Manager directamente; son para AWS Systems Manager Parameter Store. Referenciar un valor cifrado en AWS KMS directamente con un SecureString de CloudFormation no es la forma estándar de integrar Secrets Manager para credenciales de base de datos.