Un processo recupera automaticamente le credenziali API per più fonti bancarie e invoca una funzione Lambda collegata a una risorsa personalizzata di CloudFormation. Lo sviluppatore desidera archiviare queste credenziali API con un sovraccarico operativo minimo e la massima sicurezza. Qual è l'approccio più sicuro e che richiede il minor sforzo operativo?

L'opzione corretta è chiamare l'API SSM PutParameter dalla funzione Lambda per archiviare le credenziali come parametro SecureString. Questo garantisce la massima sicurezza perché le credenziali sono crittografate con AWS KMS e non sono esposte nel template di CloudFormation o nei log. L'approccio è anche a basso sovraccarico operativo poiché la Lambda gestisce l'archiviazione automaticamente. Le altre opzioni sono meno sicure o più complesse: Aggiungere una risorsa AWS Secrets Manager GenerateSecretString al template di CloudFormation non è l'ideale perché il processo recupera credenziali esterne, non le genera. Aggiungere una risorsa SSM Parameter Store direttamente al template di CloudFormation con NoEcho esporrebbe potenzialmente le credenziali nel template o nei log, anche se oscurate. Chiamare l'API SSM PutParameter e impostare l'attributo NoEcho su true non è sufficiente; è fondamentale usare SecureString per la crittografia.