Apex Games speichert Produktionsgeheimnisse (Datenbankpasswörter und API-Token) im AWS Secrets Manager eines dedizierten Sicherheitskontos. Aufgrund der Richtlinien können Workloads in anderen AWS-Konten keine kontoübergreifenden Rollen übernehmen. Die Workloads müssen diese Geheimnisse zur Laufzeit direkt lesen. Was ist der SICHERSTE Weg, dies zu ermöglichen?

Die ressourcenbasierte Richtlinie am Geheimnis und die KMS-Schlüsselrichtlinie sind der sicherste Weg, da sie eine granulare, direkte Zugriffskontrolle von Consumer-Konten auf die Geheimnisse im Sicherheitskonto ermöglichen, ohne dass die Geheimnisse repliziert oder verschoben werden müssen. Dies entspricht dem Prinzip der geringsten Rechte. Kontoübergreifende Geheimnisreplikation (Option B) ist unsicher, da sie Kopien der Geheimnisse in mehreren Konten erstellt, was das Angriffsrisiko erhöht und die zentrale Verwaltung erschwert. Das Verschieben der Geheimnisse in den Systems Manager Parameter Store und die Freigabe über RAM (Option C) ist ebenfalls unsicher, da der Parameter Store nicht primär für die Speicherung hochsensibler Produktionsgeheimnisse wie Datenbankpasswörter konzipiert ist und RAM eher für die Freigabe von Ressourcen als für die sichere Geheimnisverwaltung dient. Interface VPC Endpoints (Option D) ermöglichen zwar den privaten Zugriff auf Secrets Manager, regeln aber nicht die Autorisierung. Ohne zusätzliche Richtlinien wären die Geheimnisse nicht zugänglich.