Um aplicativo de mídia social usa o AWS SDK for JavaScript no navegador para obter credenciais de usuário do AWS STS. Os ativos do aplicativo são armazenados em um bucket S3 e entregues por meio de uma distribuição CloudFront com o bucket S3 como origem. Atualmente, as credenciais de função que o aplicativo assume são armazenadas em texto simples dentro de um arquivo JSON no código do frontend. O desenvolvedor deve remover as credenciais codificadas, mas ainda permitir que o aplicativo obtenha credenciais. Qual abordagem satisfaz esse requisito?

A opção correta é usar uma função Lambda@Edge. Ao mover as chamadas do SDK do frontend para uma função Lambda@Edge, as credenciais codificadas são removidas do código do cliente. A função Lambda@Edge pode assumir uma função IAM com permissões para chamar o AWS STS, fornecendo as credenciais de forma segura sem expô-las no frontend. As CloudFront Functions são inadequadas porque são executadas em um ambiente isolado e não podem fazer chamadas de rede para serviços AWS como o STS. As opções que sugerem colocar as credenciais do arquivo JSON na função Lambda@Edge ou CloudFront Function ainda manteriam credenciais codificadas, o que é a prática que se deseja evitar.