Amazon API Gateway API 调用一个 AWS Lambda 函数，该函数必须调用一个 SaaS 平台。SaaS 平台颁发一个唯一的客户端令牌来授权 Lambda 函数。安全工程师必须以最具成本效益的方式加密静态令牌并在运行时将其提供给 Lambda 函数。哪种解决方案符合这些要求？

将令牌作为 SecureString 参数存储在 AWS Systems Manager Parameter Store 中，并在运行时使用 AWS SDK 检索，是最具成本效益且安全的方法。Parameter Store 的 SecureString 类型使用 AWS KMS 密钥自动加密静态数据，满足加密要求。与 Secrets Manager 相比，Parameter Store 的存储和访问成本通常更低，尤其是在高频访问场景下。 将令牌作为密钥存储在 AWS Secrets Manager 中也是一个安全选项，但其成本通常高于 Parameter Store，尤其是在频繁检索的情况下。在 API Gateway 中配置基于令牌的 Lambda 授权方是用于授权 API 请求的，而不是用于存储和检索后端服务所需的敏感令牌。使用 AWS KMS 加密令牌并将其作为环境变量传递给函数不安全，因为环境变量在某些情况下可能被泄露，并且 KMS 本身不提供存储功能。