Une entreprise doit suivre les meilleures pratiques de sécurité lors du déploiement de ressources à partir d'un modèle AWS CloudFormation. Le modèle doit configurer des informations d'identification de base de données sensibles. L'entreprise utilise déjà AWS Key Management Service (AWS KMS) et AWS Secrets Manager. Quelle solution répond aux exigences ?

L'utilisation d'une référence dynamique dans CloudFormation pour récupérer les informations d'identification de Secrets Manager est la méthode la plus sécurisée et recommandée. Elle permet de ne jamais exposer les secrets en texte clair dans le modèle CloudFormation ou les journaux. Secrets Manager gère le chiffrement et la rotation des secrets. Transmettre les informations d'identification via un paramètre CloudFormation, même avec un modèle chiffré par KMS, n'est pas sécurisé car les valeurs des paramètres peuvent être visibles dans les événements CloudFormation ou les consoles, et le chiffrement du modèle ne protège pas les valeurs des paramètres une fois déchiffrées. Les paramètres SecureString ne sont pas une fonctionnalité native de CloudFormation pour référencer Secrets Manager ou KMS directement. SecureString est un type de paramètre utilisé par AWS Systems Manager Parameter Store, et bien qu'il puisse stocker des secrets, la meilleure pratique pour les informations d'identification de base de données est d'utiliser Secrets Manager en conjonction avec des références dynamiques CloudFormation.