Un'azienda deve seguire le best practice di sicurezza durante il deployment di risorse da un template AWS CloudFormation. Il template deve configurare credenziali di database sensibili. L'azienda utilizza già AWS Key Management Service (AWS KMS) e AWS Secrets Manager. Quale soluzione soddisfa i requisiti?

La soluzione corretta è utilizzare un riferimento dinamico nel template CloudFormation per recuperare le credenziali del database da AWS Secrets Manager. Questo approccio segue le best practice di sicurezza perché Secrets Manager è progettato per archiviare e gestire in modo sicuro le credenziali sensibili. I riferimenti dinamici consentono a CloudFormation di recuperare i segreti al momento del deployment senza esporli direttamente nel template, garantendo che le credenziali non siano mai hardcoded o visibili nel codice sorgente. Le altre opzioni sono meno sicure o non appropriate: Utilizzare un parametro CloudFormation per passare le credenziali e crittografare il template con AWS KMS non è sicuro, poiché i parametri CloudFormation sono visibili nella console e nelle API, anche se il template è crittografato. Utilizzare un parametro SecureString nel template CloudFormation per fare riferimento alle credenziali del database in Secrets Manager è un'opzione valida per i parametri SSM Parameter Store, ma non è il meccanismo diretto per Secrets Manager. Utilizzare un parametro SecureString nel template CloudFormation per fare riferimento a un valore crittografato in AWS KMS non è il metodo standard per gestire le credenziali di database; AWS Secrets Manager è il servizio specifico per questo scopo.