Un administrateur SysOps doit protéger les identifiants d'une instance Amazon RDS qu'un modèle CloudFormation va créer. Les identifiants doivent être stockés de manière chiffrée et prendre en charge la rotation automatique. Quelle approche répond à ces exigences ?

La bonne approche est de définir une ressource AWS::SecretsManager::Secret dans le modèle CloudFormation et d'utiliser la référence dynamique resolve:secretsmanager pour injecter les identifiants dans la ressource AWS::RDS::DBInstance. Secrets Manager est conçu pour stocker et gérer les identifiants de manière sécurisée, en prenant en charge le chiffrement et la rotation automatique, ce qui répond aux exigences. L'option utilisant resolve:ssm-secure est incorrecte car resolve:secretsmanager est la référence dynamique spécifique pour Secrets Manager. L'option AWS::SSM::Parameter avec resolve:ssm utilise AWS Systems Manager Parameter Store, qui peut stocker des secrets mais ne gère pas la rotation automatique nativement comme Secrets Manager. Enfin, déclarer des paramètres de modèle et utiliser la fonction Ref n'est pas sécurisé car les identifiants seraient exposés en texte clair dans le modèle ou lors du déploiement, et ne permet pas la rotation automatique.