Администратор SysOps должен защитить учетные данные для экземпляра Amazon RDS, который будет создан шаблоном CloudFormation. Учетные данные должны храниться в зашифрованном виде и поддерживать автоматическую ротацию. Какой подход удовлетворяет этим требованиям?

Правильный ответ — использование AWS Secrets Manager с динамической ссылкой resolve:secretsmanager. AWS Secrets Manager предназначен для безопасного хранения, управления и автоматической ротации секретов, таких как учетные данные баз данных, что соответствует всем требованиям. Динамическая ссылка resolve:secretsmanager позволяет CloudFormation извлекать эти секреты во время развертывания. Неправильные варианты: Использование resolve:ssm-secure неверно, так как это ссылка на AWS Systems Manager Parameter Store, а не на Secrets Manager. Хотя Parameter Store может хранить зашифрованные параметры, он не предоставляет встроенной автоматической ротации, как Secrets Manager. Использование AWS::SSM::Parameter с resolve:ssm также относится к Parameter Store и не обеспечивает автоматическую ротацию. Объявление параметров шаблона для имени пользователя и пароля базы данных небезопасно, так как учетные данные будут храниться в открытом виде в шаблоне или передаваться как входные параметры, что противоречит требованию зашифрованного хранения и ротации.