Podczas przeglądania szablonu AWS CloudFormation inżynier bezpieczeństwa znajduje parametr z wartością domyślną, która ujawnia klucz API aplikacji w postaci zwykłego tekstu. Wartość ta jest wielokrotnie odwoływana w szablonie. Inżynier musi zastąpić ten parametr, zachowując możliwość odwoływania się do wartości w całym szablonie. Jakie jest najbezpieczniejsze rozwiązanie?

Przechowywanie klucza API w AWS Secrets Manager i odwoływanie się do niego za pomocą dynamicznego odwołania {{resolve:secretsmanager:MySecretId:SecretString}} jest najbezpieczniejszym rozwiązaniem. Secrets Manager jest usługą zaprojektowaną specjalnie do bezpiecznego przechowywania, zarządzania i rotacji poufnych danych, takich jak klucze API. Dynamiczne odwołanie w CloudFormation pozwala na pobranie wartości w czasie wdrożenia, bez ujawniania jej w szablonie. Opcja z Systems Manager Parameter Store (SecureString) jest również bezpieczna, ale Secrets Manager oferuje dodatkowe funkcje, takie jak automatyczna rotacja, co jest korzystne dla kluczy API. DynamoDB i S3 nie są przeznaczone do bezpiecznego przechowywania poufnych danych w taki sposób, aby były łatwo dostępne i zarządzalne przez CloudFormation w kontekście bezpieczeństwa.