Een bedrijf moet de best practices op het gebied van beveiliging volgen bij het implementeren van resources vanuit een AWS CloudFormation-template. De template moet gevoelige databasecredentials configureren. Het bedrijf gebruikt al AWS Key Management Service (AWS KMS) en AWS Secrets Manager. Welke oplossing voldoet aan de vereisten?

De juiste oplossing is het gebruik van een dynamische referentie in de CloudFormation-template om gevoelige databasecredentials op te halen uit AWS Secrets Manager. Dit is de aanbevolen best practice voor het veilig beheren van geheimen in CloudFormation. Secrets Manager is speciaal ontworpen voor het opslaan en roteren van geheimen, en dynamische referenties voorkomen dat gevoelige informatie direct in de template of in CloudFormation-logs verschijnt. Het gebruik van een CloudFormation-parameter en het versleutelen van de template met AWS KMS is onvoldoende, omdat parameters zichtbaar zijn in de CloudFormation-console en API-aanroepen, zelfs als de template versleuteld is. Een SecureString-parameter in CloudFormation verwijst naar AWS Systems Manager Parameter Store, niet direct naar Secrets Manager, en is niet de meest veilige methode voor databasecredentials. Het verwijzen naar een versleutelde waarde in AWS KMS via een SecureString-parameter is ook minder optimaal, omdat Secrets Manager de specifieke functionaliteit biedt voor het beheren van databasecredentials, inclusief automatische rotatie.