在檢閱 AWS CloudFormation 範本時，一位安全工程師發現一個參數的預設值以純文字形式暴露了應用程式的 API 金鑰。該值在範本中被多次引用。工程師必須替換該參數，同時保留在整個範本中引用該值的能力。最安全的解決方案是什麼？

將 API 金鑰儲存在 AWS Secrets Manager 中是最佳選擇，因為 Secrets Manager 專為安全地儲存、管理和檢索敏感憑證而設計，並提供自動輪換、細粒度存取控制和加密等功能。CloudFormation 的動態參考 {{resolve:secretsmanager:MySecretId:SecretString}} 允許在部署時安全地檢索此金鑰，而無需在範本中硬編碼。 將金鑰儲存在 Systems Manager Parameter Store 的 SecureString 類型中也是一個安全的選項，但 Secrets Manager 提供了更進階的憑證管理功能，例如自動輪換，這對於 API 金鑰來說通常是更全面的解決方案。DynamoDB 和 S3 不適合直接儲存敏感憑證，因為它們缺乏 Secrets Manager 提供的內建安全功能和憑證生命週期管理。