Wdrażasz aplikację na instancjach EC2 za pośrednictwem CodeCommit i CodePipeline. Aplikacja wymaga poufnych danych uwierzytelniających do bazy danych na instancjach. Które rozwiązania najbezpieczniej przechowują i pobierają te sekrety? (Wybierz dwie opcje.)

Przechowywanie sekretów w AWS Secrets Manager lub AWS Systems Manager Parameter Store (jako bezpieczne ciągi znaków) to najlepsze praktyki. Oba rozwiązania zapewniają szyfrowanie, kontrolę dostępu opartą na rolach (IAM) i łatwą rotację sekretów, co zwiększa bezpieczeństwo. Aplikacja powinna pobierać te sekrety podczas uruchamiania, używając ról IAM przypisanych do instancji EC2, co eliminuje potrzebę twardego kodowania poświadczeń. Przekazywanie ich jako zmiennych środowiskowych do aplikacji jest standardowym sposobem ich udostępniania. Pozostałe opcje są mniej bezpieczne: Funkcja Lambda do wstrzykiwania zmiennych środowiskowych dodaje niepotrzebną złożoność i potencjalne opóźnienia, a także wymaga zarządzania uprawnieniami dla Lambda. Zapisywanie sekretów w pliku na instancji EC2, nawet zaszyfrowanym, zwiększa ryzyko ich ujawnienia, jeśli instancja zostanie skompromitowana, a zarządzanie rotacją jest trudniejsze. Przechowywanie sekretów w pliku tekstowym w S3 i kopiowanie go na instancje jest bardzo niebezpieczne, ponieważ plik tekstowy nie zapewnia odpowiedniego szyfrowania ani kontroli dostępu na poziomie sekretu.