Компания должна следовать лучшим практикам безопасности при развертывании ресурсов из шаблона AWS CloudFormation. Шаблон должен настраивать конфиденциальные учетные данные базы данных. Компания уже использует AWS Key Management Service (AWS KMS) и AWS Secrets Manager. Какое решение соответствует требованиям?

Использование динамической ссылки в шаблоне CloudFormation для получения учетных данных из AWS Secrets Manager является рекомендуемой лучшей практикой. Это позволяет CloudFormation безопасно извлекать конфиденциальные данные во время развертывания без их жесткого кодирования или передачи в виде открытого текста. Secrets Manager предназначен для безопасного хранения и управления секретами. Передача учетных данных через параметр CloudFormation, даже с зашифрованным шаблоном, не является безопасной, так как параметры могут быть доступны в журналах или истории CloudFormation. Использование SecureString в CloudFormation не предназначено для динамического извлечения секретов из Secrets Manager; оно используется для передачи зашифрованных строк, которые вы уже имеете. Ссылка на зашифрованное значение в AWS KMS через SecureString также не является оптимальной, поскольку Secrets Manager предоставляет более комплексное решение для управления секретами, включая ротацию и аудит.