Une entreprise automatise le bootstrapping de nouvelles instances EC2 à l'aide de modèles CloudFormation qui exécutent des scripts contenant des valeurs sensibles. La solution doit s'intégrer à CloudFormation et gérer ces secrets de manière sécurisée. Quelle option offre l'intégration la plus sécurisée avec CloudFormation ?

Stocker les valeurs sensibles en tant que paramètres SecureString dans AWS Systems Manager Parameter Store et les référencer dynamiquement dans CloudFormation est la méthode la plus sécurisée. SecureString chiffre les données au repos et en transit, et Parameter Store s'intègre nativement avec CloudFormation pour récupérer ces valeurs au moment du déploiement sans les exposer dans le modèle. Placer les valeurs sensibles directement dans les paramètres CloudFormation, même avec un chiffrement KMS du modèle, expose les secrets dans l'historique des modèles et des piles. Stocker des objets sensibles dans S3 nécessite une gestion des autorisations S3 et ne fournit pas le même niveau de gestion des secrets que Parameter Store. Utiliser Amazon EFS pour les secrets est moins approprié car EFS est un système de fichiers partagé, et bien qu'il puisse être chiffré, il n'est pas conçu spécifiquement pour la gestion sécurisée des secrets d'application comme Parameter Store.