Un'azienda automatizza il bootstrapping di nuove istanze EC2 utilizzando template CloudFormation che eseguono script contenenti valori sensibili. La soluzione deve integrarsi con CloudFormation e gestire in modo sicuro tali segreti. Quale opzione fornisce l'integrazione più sicura con CloudFormation?

L'opzione corretta è la più sicura perché AWS Systems Manager Parameter Store, in particolare con i parametri SecureString, è progettato specificamente per la gestione sicura di dati sensibili come password e chiavi API. CloudFormation può integrarsi direttamente con Parameter Store per recuperare questi valori in modo dinamico durante la creazione o l'aggiornamento dello stack, senza esporli nel template o nei log. Le altre opzioni sono meno sicure: Inserire valori sensibili nei parametri di CloudFormation e crittografare il template KMS non è sufficiente, poiché i parametri stessi potrebbero essere visibili in chiaro o in log di CloudFormation. La crittografia del template non impedisce l'esposizione dei valori al momento dell'utilizzo. Archiviare i valori sensibili in S3 richiede una gestione attenta dei permessi di S3 e gli script di bootstrapping dovrebbero comunque avere credenziali per accedere a S3, creando un potenziale punto debole. Archiviare su Amazon EFS e abilitare la crittografia post-creazione non è l'uso previsto per la gestione di segreti di bootstrapping e presenta complessità e potenziali rischi di esposizione durante il processo di montaggio e lettura.