Vous déployez une application sur des instances EC2 via CodeCommit et CodePipeline. L'application nécessite des informations d'identification de base de données sensibles sur les instances. Quelles solutions stockent et récupèrent ces secrets de la manière la plus sécurisée ? (Choisissez-en deux.)

Les deux options correctes, AWS Secrets Manager et AWS Systems Manager Parameter Store (avec des chaînes sécurisées), sont les méthodes les plus sécurisées pour stocker et récupérer des informations d'identification sensibles. Elles offrent un chiffrement au repos et en transit, un contrôle d'accès granulaire via IAM, et des fonctionnalités de rotation automatique pour Secrets Manager. L'intégration avec l'application pour récupérer ces secrets au démarrage et les fournir via des variables d'environnement est une pratique standard et sécurisée. Stocker les secrets dans une fonction Lambda n'est pas une solution de stockage de secrets en soi et introduit une complexité inutile. Écrire la configuration dans un fichier sur chaque instance EC2, même avec chiffrement KMS, est moins gérable et moins sécurisé que les services dédiés, car le fichier pourrait être accidentellement exposé ou mal configuré. Placer les secrets dans un fichier en texte clair dans un compartiment S3 est une faille de sécurité majeure, car les secrets ne seraient pas chiffrés et seraient facilement accessibles.