한 프로세스가 여러 뱅킹 소스에 대한 API 자격 증명을 자동으로 검색하고 CloudFormation 사용자 지정 리소스에 연결된 Lambda 함수를 호출합니다. 개발자는 최소한의 운영 오버헤드와 최대의 보안으로 이러한 API 자격 증명을 저장하려고 합니다. 어떤 접근 방식이 가장 안전하고 운영 노력이 가장 적게 필요합니까?

정답은 Lambda(사용자 지정 리소스)에서 SSM PutParameter API를 호출하여 자격 증명을 SecureString 파라미터로 저장하는 것입니다. 이는 AWS Systems Manager Parameter Store의 SecureString 유형을 사용하여 자격 증명을 암호화하여 저장하므로 가장 안전합니다. Lambda 함수는 API를 통해 동적으로 자격 증명을 저장할 수 있어 운영 오버헤드가 적습니다. 오답 설명: CloudFormation 템플릿에 AWS Secrets Manager GenerateSecretString 리소스를 추가하는 것은 Secrets Manager를 사용하므로 안전하지만, CloudFormation 템플릿 내에서 직접 자격 증명을 생성하고 참조하는 것은 템플릿이 변경될 때마다 자격 증명이 재생성될 수 있어 관리 복잡성이 증가할 수 있습니다. CloudFormation 템플릿에 SSM Parameter Store 리소스를 추가하고 템플릿에서 NoEcho를 사용하여 리소스 값을 새 자격 증명으로 설정하는 것은 자격 증명을 CloudFormation 템플릿에 직접 노출하는 것이므로 안전하지 않습니다. NoEcho는 출력만 가릴 뿐, 값 자체는 템플릿에 존재합니다. Lambda(사용자 지정 리소스)에서 SSM PutParameter API를 호출하여 자격 증명을 저장하고 파라미터의 NoEcho 속성을 true로 설정하는 것은 NoEcho가 Parameter Store 파라미터에 대한 유효한 속성이 아니므로 올바른 방법이 아닙니다. SecureString을 사용해야 합니다.