Um projeto no Amazon Linux falhou em uma revisão de segurança. Você está revisando um buildspec.yaml do CodeBuild e deve recomendar melhorias de segurança. Quais mudanças seguem as melhores práticas da AWS? (Escolha três.)

A concessão de permissões mínimas necessárias ao perfil de serviço IAM do CodeBuild e a remoção de credenciais de variáveis de ambiente seguem o princípio do privilégio mínimo e evitam a exposição de credenciais. Armazenar DBPASSWORD como uma SecureString no AWS Systems Manager Parameter Store é uma prática recomendada para gerenciar segredos, pois oferece criptografia e controle de acesso, em vez de armazená-los em variáveis de ambiente. Usar o AWS Systems Manager Run Command para interagir com instâncias é mais seguro do que scp e ssh, pois o Run Command usa credenciais IAM e não requer portas de entrada abertas. Excluir arquivos temporários após o build não impede o acesso de outros usuários, pois cada build do CodeBuild é executado em um ambiente isolado. Mover variáveis de ambiente para um bucket S3 e exportá-las ainda expõe as variáveis, e ofuscar variáveis por XOR e Base64 não é uma medida de segurança robusta, pois pode ser facilmente revertido.