Firma musi przestrzegać najlepszych praktyk bezpieczeństwa podczas wdrażania zasobów z szablonu AWS CloudFormation. Szablon musi konfigurować poufne dane uwierzytelniające bazy danych. Firma używa już AWS Key Management Service (AWS KMS) i AWS Secrets Manager. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to użycie dynamicznego odwołania w szablonie CloudFormation do pobrania danych uwierzytelniających bazy danych z AWS Secrets Manager. Dynamiczne odwołania CloudFormation pozwalają na bezpieczne pobieranie wartości z Secrets Manager w czasie wdrażania stosu, bez ujawniania poufnych danych w szablonie. Secrets Manager jest przeznaczony do bezpiecznego przechowywania i rotacji danych uwierzytelniających, a integracja z CloudFormation za pomocą dynamicznych odwołań jest najlepszą praktyką. Użycie parametru CloudFormation do przekazania danych uwierzytelniających i zaszyfrowanie szablonu za pomocą AWS KMS nie jest bezpieczne, ponieważ parametry są widoczne w historii stosu CloudFormation. Użycie parametru SecureString w szablonie CloudFormation do odwołania się do danych uwierzytelniających w Secrets Manager jest nieprawidłowe, ponieważ SecureString jest używany z AWS Systems Manager Parameter Store, a nie bezpośrednio z Secrets Manager w ten sposób. Użycie parametru SecureString do odwołania się do zaszyfrowanej wartości w AWS KMS również jest nieprawidłowe, ponieważ KMS służy do szyfrowania, a nie do przechowywania danych uwierzytelniających w sposób, który jest bezpośrednio odwoływany przez SecureString w CloudFormation.