Een bestaande applicatie leest momenteel databasecredentials uit een versleuteld bestand in Amazon S3. Voor de volgende versie vereist de security engineer: sterke, willekeurig gegenereerde databasewachtwoorden die zijn opgeslagen in een veilige AWS-beheerde service; implementatie van applicatieresources via AWS CloudFormation; en geautomatiseerde credentialrotatie elke 90 dagen. Je zult een CloudFormation-template opstellen om de applicatie te implementeren. Welke CloudFormation-resources voldoen aan deze vereisten met de MINSTE operationele overhead?

De juiste optie maakt gebruik van AWS Secrets Manager, wat de meest geschikte service is voor het veilig opslaan en roteren van databasecredentials. De AWS::SecretsManager::RotationSchedule resource is specifiek ontworpen om automatische rotatie van Secrets Manager-geheimen te configureren, inclusief de frequentie, en werkt naadloos samen met een Lambda-functie voor de rotatielogica. Dit voldoet aan alle vereisten met de minste operationele overhead omdat Secrets Manager de rotatie beheert. De optie met Parameter Store is onjuist omdat Parameter Store geen ingebouwde, geautomatiseerde rotatiefunctie heeft zoals Secrets Manager, en de genoemde "hypothetische Parameter Store RotationSchedule resource" bestaat niet. De optie die een EventBridge-regel gebruikt met Secrets Manager is minder optimaal dan de correcte optie, omdat AWS::SecretsManager::RotationSchedule een directere en geïntegreerde manier biedt om rotatie te plannen binnen CloudFormation, wat resulteert in minder configuratie en overhead. De optie met AppSync DataSource is onjuist omdat AWS AppSync een beheerde service is voor GraphQL API's en niet direct betrokken is bij het roteren van databasecredentials.