Um projeto AWS CodeBuild está atualmente baixando um script de preenchimento de banco de dados de um bucket S3 usando uma solicitação não autenticada, o que viola a política de segurança. Qual é a maneira mais segura de corrigir isso?

A opção correta é remover o acesso público (não autenticado) ao bucket S3 e conceder permissões à função de serviço do CodeBuild para acesso ao S3, usando a AWS CLI no buildspec. Esta é a maneira mais segura porque adere ao princípio do privilégio mínimo, utilizando as credenciais temporárias e gerenciadas da função de serviço do CodeBuild para autenticar o acesso ao S3, eliminando a necessidade de credenciais estáticas ou acesso público. As outras opções são menos seguras: Adicionar o nome do bucket à seção AllowedBuckets e usar a AWS CLI ainda não resolve o problema de uma solicitação não autenticada se o bucket permanecer público. Habilitar autenticação básica HTTPS com um token é uma solução menos robusta e mais complexa de gerenciar do que usar funções de serviço IAM. Usar uma chave de acesso IAM e uma chave de acesso secreta codificadas no buildspec é uma prática insegura, pois expõe credenciais estáticas que podem ser comprometidas.