Uma API do Amazon API Gateway invoca uma função AWS Lambda que deve chamar uma plataforma SaaS. A plataforma SaaS emite um token de cliente exclusivo para autorizar a função Lambda. Um engenheiro de segurança deve criptografar o token em repouso e fornecê-lo à função Lambda em tempo de execução da maneira mais econômica. Qual solução atende a esses requisitos?

Armazenar o token como um parâmetro SecureString no AWS Systems Manager Parameter Store é a solução mais econômica e segura. O Parameter Store permite armazenar dados confidenciais criptografados usando o AWS KMS, e a recuperação na função Lambda via AWS SDK é simples e direta. Armazenar o token como um segredo no AWS Secrets Manager também é uma opção segura, mas pode ser mais cara para este caso de uso específico, pois o Secrets Manager é otimizado para rotação automática de credenciais, o que não é necessário aqui. Configurar um autorizador Lambda baseado em token no API Gateway não se aplica, pois o token é para a função Lambda autenticar-se com a plataforma SaaS, não para o API Gateway autorizar chamadas. Usar o AWS KMS para criptografar o token e passá-lo como variável de ambiente não é recomendado. Variáveis de ambiente são menos seguras para dados confidenciais e não oferecem a mesma proteção em repouso que o Parameter Store.