Uma equipe está desenvolvendo um aplicativo serverless e precisa armazenar uma chave de API externa como parte de uma configuração do AWS Lambda. A equipe exige controle total sobre as chaves do AWS KMS que criptografarão a chave da API e quer que o material da chave seja acessível apenas a entidades autorizadas. Qual opção satisfaz esses requisitos?

A opção correta é armazenar a chave da API nas variáveis de ambiente da função Lambda e usar uma chave AWS KMS gerenciada pelo cliente. Variáveis de ambiente fornecem um local conveniente para armazenar segredos que o código da função pode acessar. Ao usar uma Chave Gerenciada pelo Cliente (CMK) do KMS, a equipe tem controle total sobre as políticas de acesso e rotação da chave, atendendo ao requisito de controle total e acesso restrito. Armazenar no Parameter Store como parâmetro String com chave KMS padrão gerenciada pela AWS não dá controle total sobre a chave KMS. Manter a chave no repositório de código-fonte é uma prática de segurança ruim, expondo o segredo. Armazenar em uma tabela DynamoDB com chave KMS gerenciada pela AWS também não oferece o controle total exigido sobre a chave de criptografia.