Administrator SysOps musi chronić poświadczenia dla instancji Amazon RDS, którą utworzy szablon CloudFormation. Poświadczenia muszą być przechowywane w postaci zaszyfrowanej i obsługiwać automatyczną rotację. Które podejście spełnia te wymagania?

Poprawna odpowiedź to zdefiniowanie zasobu AWS::SecretsManager::Secret w szablonie CloudFormation i użycie dynamicznego odwołania resolve:secretsmanager. AWS Secrets Manager jest przeznaczony do bezpiecznego przechowywania, zarządzania i automatycznej rotacji poświadczeń, w tym tych dla baz danych RDS. Integracja z CloudFormation za pomocą resolve:secretsmanager umożliwia bezpieczne dostarczanie tych poświadczeń do instancji RDS. Pozostałe opcje są nieprawidłowe: Użycie resolve:ssm-secure z Secrets Manager jest błędne, ponieważ ssm-secure jest przeznaczone dla AWS Systems Manager Parameter Store. Zdefiniowanie zasobu AWS::SSM::Parameter i użycie resolve:ssm nie spełnia wymogu automatycznej rotacji, ponieważ Systems Manager Parameter Store nie oferuje tej funkcji dla poświadczeń. Deklarowanie parametrów szablonu dla nazwy użytkownika i hasła bazy danych oraz użycie funkcji Ref jest niebezpieczne, ponieważ poświadczenia byłyby przechowywane w postaci zwykłego tekstu w szablonie i nie obsługiwałyby rotacji.