AWS CloudFormation テンプレートをレビューしている際に、セキュリティエンジニアは、アプリケーションの API キーをプレーンテキストで公開するデフォルト値を持つパラメータを発見しました。この値はテンプレート内で複数回参照されています。エンジニアは、テンプレート全体で値を参照する機能を維持しながら、このパラメータを置き換える必要があります。最も安全なソリューションは何ですか？

AWS Secrets Managerは、APIキー、データベース認証情報、その他の機密情報を安全に保存および管理するための専用サービスです。自動ローテーション、きめ細かなアクセス制御、監査機能を提供し、機密情報のライフサイクル管理に最適です。CloudFormationテンプレート内で{{resolve:secretsmanager:MySecretId:SecretString}}構文を使用することで、テンプレートに機密情報をハードコードすることなく、Secrets Managerから安全に値を取得できます。 AWS Systems Manager Parameter Storeも機密情報を保存できますが、Secrets Managerは機密情報のライフサイクル管理に特化しており、より高度なセキュリティ機能を提供します。DynamoDBやS3は汎用的なデータストアであり、機密情報の保存に特化したセキュリティ機能はSecrets Managerほどではありません。