A Apex Games mantém segredos de produção (senhas de banco de dados e tokens de API) no AWS Secrets Manager de uma conta de segurança dedicada. Devido à política, as cargas de trabalho em outras contas da AWS não podem assumir perfis (roles) entre contas. As cargas de trabalho devem ler esses segredos diretamente em tempo de execução. Qual é a maneira MAIS segura de habilitar isso?

A opção correta é a mais segura porque utiliza políticas baseadas em recursos (resource policies) no Secrets Manager, que permitem o acesso granular a segredos específicos de outras contas da AWS. Ao combinar isso com a atualização da política da chave KMS ou concessões, garante-se que apenas os perfis IAM autorizados nas contas consumidoras possam descriptografar e acessar os segredos. A replicação de segredos (opção incorreta) não é ideal, pois duplica os segredos, aumentando a superfície de ataque e a complexidade de gerenciamento. Mover para o Parameter Store e usar o RAM (opção incorreta) é menos seguro, pois o RAM é para compartilhamento de recursos, não para controle de acesso granular a segredos. Endpoints de VPC (opção incorreta) fornecem conectividade privada, mas não autorização entre contas para acesso a segredos.