Een SysOps-beheerder moet de credentials beveiligen voor een Amazon RDS-instance die een CloudFormation-template zal creëren. De credentials moeten versleuteld worden opgeslagen en automatische rotatie ondersteunen. Welke aanpak voldoet aan deze vereisten?

De correcte aanpak is om AWS Secrets Manager te gebruiken. Een AWS::SecretsManager::Secret resource in de CloudFormation-template slaat de credentials versleuteld op en ondersteunt automatische rotatie, wat voldoet aan de vereisten. De resolve:secretsmanager dynamische referentie is de juiste methode om deze secrets veilig te injecteren in de AWS::RDS::DBInstance resource. De optie met resolve:ssm-secure is incorrect omdat Secrets Manager de primaire service is voor het beheer van databasecredentials met rotatie, niet SSM Parameter Store. Hoewel SSM Parameter Store ook versleutelde parameters kan opslaan, biedt het niet out-of-the-box automatische rotatie voor databasecredentials zoals Secrets Manager dat doet. Het direct declareren van templateparameters voor gebruikersnaam en wachtwoord is onveilig omdat deze dan in platte tekst in de template of in de CloudFormation-console zichtbaar zouden zijn, en biedt geen rotatie.