Компания автоматизирует начальную загрузку новых инстансов EC2 с помощью шаблонов CloudFormation, которые запускают скрипты, содержащие конфиденциальные данные. Решение должно интегрироваться с CloudFormation и безопасно управлять этими секретами. Какой вариант обеспечивает наиболее безопасную интеграцию с CloudFormation?

Хранение конфиденциальных значений как параметров SecureString в AWS Systems Manager Parameter Store и динамическая ссылка на них из CloudFormation — это наиболее безопасный и рекомендуемый подход. Parameter Store предназначен для безопасного хранения конфиденциальных данных, используя AWS KMS для шифрования, и легко интегрируется с CloudFormation через динамические ссылки. Помещение конфиденциальных значений в параметры CloudFormation и шифрование шаблонов CloudFormation с помощью ключа AWS KMS не является безопасным, поскольку параметры CloudFormation видны в консоли и API, даже если шаблон зашифрован. Хранение конфиденциальных значений как объекта в Amazon S3 менее безопасно, так как требует управления доступом к S3, и данные могут быть случайно раскрыты. Хранение конфиденциальных значений на Amazon EFS также менее безопасно, так как EFS не предназначен для хранения секретов и требует настройки сетевого доступа и разрешений для каждого инстанса.