Uma equipe armazena a senha do banco de dados de um aplicativo no AWS Secrets Manager. Apenas um conjunto limitado e frequentemente mutável de principais do IAM deve ter acesso ao segredo. Um engenheiro de segurança precisa de uma solução que maximize a flexibilidade e a escalabilidade. Qual abordagem atende a esses requisitos?

A abordagem baseada em tags é a mais flexível e escalável para gerenciar acesso a um segredo do Secrets Manager para um conjunto mutável de principais do IAM. Ao usar chaves de condição aws:PrincipalTag e aws:ResourceTag em uma política baseada em recurso, você pode controlar o acesso dinamicamente. Adicionar ou remover tags de principais do IAM ou do segredo ajusta as permissões sem modificar as políticas diretamente, o que é ideal para equipes com membros que mudam frequentemente. A abordagem baseada em função exige a modificação da política de confiança da função, o que pode ser menos escalável para muitas mudanças. Um endpoint de VPC com política de endpoint não gerencia o acesso de principais do IAM diretamente, mas sim o acesso à rede. A abordagem de negação por padrão é complexa e propensa a erros, além de não ser escalável para gerenciar permissões de forma eficiente.