Szablon CloudFormation wdraża instancję Amazon Linux EC2, klaster Amazon Aurora i zawiera zakodowane na stałe hasło do bazy danych, które musi być zmieniane co 90 dni. Jaka jest najbezpieczniejsza metoda zarządzania i rotacji tego hasła do bazy danych?

Poprawna odpowiedź wykorzystuje AWS Secrets Manager, który jest usługą zaprojektowaną do bezpiecznego przechowywania, zarządzania i rotacji sekretów, takich jak hasła do baz danych. Użycie GenerateSecretString automatycznie generuje silne hasło, a AWS::SecretsManager::RotationSchedule zapewnia automatyczną rotację co 90 dni, co jest zgodne z wymaganiem. Aplikacja powinna pobierać sekret bezpośrednio z Secrets Manager, co eliminuje kodowanie na stałe i zwiększa bezpieczeństwo. Pozostałe opcje są mniej bezpieczne lub nie spełniają wszystkich wymagań: Deklarowanie AWS::SecretsManager::Secret z SecretString i przyjmowanie hasła jako parametru CloudFormation wymaga ręcznego zarządzania hasłem i nie zapewnia automatycznej rotacji. Użycie AWS Systems Manager Parameter Store z SecureString jest lepsze niż zwykły tekst, ale Parameter Store nie oferuje wbudowanej automatycznej rotacji haseł, co jest kluczowym wymaganiem. Użycie AWS Systems Manager Parameter Store ze zwykłym ciągiem znaków jest najmniej bezpieczną opcją, ponieważ hasło nie jest szyfrowane w spoczynku.