Una plantilla de CloudFormation despliega una instancia EC2 de Amazon Linux, un clúster de Amazon Aurora e incluye una contraseña de base de datos codificada que debe rotarse cada 90 días. ¿Cuál es el método más seguro para administrar y rotar esta contraseña de base de datos?

La opción correcta utiliza AWS Secrets Manager, que está diseñado específicamente para almacenar, administrar y rotar credenciales de forma segura. Declarar AWS::SecretsManager::Secret con GenerateSecretString permite que Secrets Manager cree automáticamente una contraseña fuerte. Añadir AWS::SecretsManager::RotationSchedule configura la rotación automática de la contraseña cada 90 días, cumpliendo el requisito. La aplicación recupera el secreto directamente de Secrets Manager, garantizando que nunca se codifique en la plantilla o la aplicación. Las opciones incorrectas son menos seguras o no cumplen el requisito de rotación: La opción que usa AWS::SecretsManager::Secret con SecretString y un parámetro de CloudFormation requiere que la contraseña se pase explícitamente, lo que es menos seguro que la generación automática, y no incluye la rotación. Las opciones que usan AWS::SSM::Parameter (ya sea SecureString o texto plano) no ofrecen una funcionalidad de rotación automática integrada para contraseñas, lo que requeriría una solución personalizada y más compleja. Además, el texto plano es inherentemente inseguro.