AWS CloudFormation 템플릿을 검토하던 중, 보안 엔지니어가 애플리케이션 API 키를 일반 텍스트로 노출하는 기본값을 가진 파라미터를 발견했습니다. 이 값은 템플릿 전체에서 여러 번 참조됩니다. 엔지니어는 템플릿 전체에서 값을 참조할 수 있는 기능을 유지하면서 파라미터를 교체해야 합니다. 가장 안전한 솔루션은 무엇입니까?

가장 안전한 솔루션은 AWS Secrets Manager를 사용하는 것입니다. Secrets Manager는 데이터베이스 자격 증명, API 키 및 기타 보안 정보를 수명 주기 동안 쉽게 검색하고 관리할 수 있도록 암호화하여 저장합니다. CloudFormation 템플릿에서 {{resolve:secretsmanager:MySecretId:SecretString}} 구문을 사용하여 Secrets Manager에 저장된 값을 안전하게 참조할 수 있습니다. 이는 템플릿이 배포될 때 Secrets Manager에서 직접 값을 가져오므로 일반 텍스트 노출을 방지합니다. AWS Systems Manager Parameter Store의 SecureString 파라미터도 암호화된 저장을 제공하지만, Secrets Manager는 자동 순환, 세분화된 액세스 제어 및 감사 기능과 같은 추가적인 보안 이점을 제공하여 API 키와 같은 민감한 자격 증명 관리에 더 적합합니다. Amazon DynamoDB와 Amazon S3는 기본적으로 민감한 정보를 일반 텍스트로 저장하는 데 적합하지 않으며, CloudFormation에서 직접적인 resolve 함수를 통한 안전한 참조 메커니즘도 제공하지 않습니다.