Een bedrijf automatiseert het bootstrapping van nieuwe EC2-instances met behulp van CloudFormation-templates die scripts uitvoeren die gevoelige waarden bevatten. De oplossing moet integreren met CloudFormation en die geheimen veilig beheren. Welke optie biedt de meest veilige integratie met CloudFormation?

De meest veilige optie is het opslaan van gevoelige waarden als SecureString-parameters in AWS Systems Manager Parameter Store en deze dynamisch te refereren vanuit het CloudFormation-template. SecureString gebruikt AWS KMS voor encryptie en Parameter Store biedt gedetailleerde toegangscontrole via IAM. CloudFormation kan deze parameters direct ophalen tijdens de provisioning, waardoor de geheimen nooit direct in het template of in logs verschijnen. De andere opties zijn minder veilig: Het versleutelen van CloudFormation-templates met gevoelige waarden in parameters is onvoldoende, aangezien de parameters nog steeds zichtbaar kunnen zijn in de console of API-aanroepen. Het opslaan van geheimen in S3 vereist extra configuratie voor encryptie en toegangscontrole, en de geheimen worden mogelijk gedownload naar de EC2-instance, wat een risico vormt. Amazon EFS is een netwerkbestandssysteem en is niet primair ontworpen voor het veilig opslaan en beheren van geheimen voor bootstrapping. Het vereist ook complexere integratie en toegangsbeheer.