Une entreprise exige que toutes les instances Amazon RDS soient provisionnées à partir de modèles AWS CloudFormation dans le cadre d'un workflow CI/CD AWS CodePipeline. Le mot de passe maître de la base de données doit être généré automatiquement lors du déploiement. Quelle solution permet d'y parvenir avec le moins d'effort de développement ?

La solution la plus simple et la plus sécurisée consiste à utiliser AWS Secrets Manager directement dans le modèle CloudFormation. En déclarant une ressource AWS::SecretsManager::Secret, CloudFormation peut générer automatiquement un mot de passe sécurisé et le stocker dans Secrets Manager. Ensuite, une référence dynamique secretsmanager permet de récupérer cette valeur au moment du déploiement de l'instance RDS, sans nécessiter de code personnalisé. Les autres options sont moins efficaces : Créer une ressource personnalisée CloudFormation avec Lambda pour générer le mot de passe est plus complexe et ajoute une couche de développement inutile. Utiliser CodeBuild pour générer le mot de passe puis le passer en paramètre CloudFormation est moins sécurisé car le mot de passe pourrait être exposé dans les logs ou les historiques de paramètres. La troisième option, combinant une ressource personnalisée Lambda avec Secrets Manager, est également plus complexe que nécessaire, car Secrets Manager peut générer le secret directement.