Bei der Überprüfung einer AWS CloudFormation-Vorlage findet ein Sicherheitsingenieur einen Parameter mit einem Standardwert, der einen Anwendungs-API-Schlüssel im Klartext preisgibt. Der Wert wird in der Vorlage mehrfach referenziert. Der Ingenieur muss den Parameter ersetzen, wobei die Möglichkeit erhalten bleiben muss, den Wert in der gesamten Vorlage zu referenzieren. Was ist die sicherste Lösung?

Die sicherste Lösung ist die Speicherung des API-Schlüssels im AWS Secrets Manager und die Referenzierung in der CloudFormation-Vorlage mittels {{resolve:secretsmanager:MySecretId:SecretString}}. Secrets Manager ist speziell für die sichere Speicherung und Verwaltung sensibler Daten wie API-Schlüssel konzipiert. Es bietet Funktionen wie automatische Rotation, feingranulare Zugriffskontrolle und Audit-Trails. Die Option mit dem Systems Manager Parameter Store (SecureString) ist ebenfalls eine sichere Methode zur Speicherung sensibler Daten und könnte verwendet werden. Die Referenzierung {{resolve:ssm:MySSMParameterName:1}} ist korrekt. Allerdings ist Secrets Manager aufgrund seiner speziellen Funktionen für Geheimnisse (z.B. Rotation) oft die bevorzugte Wahl für API-Schlüssel. Amazon DynamoDB und Amazon S3 sind keine geeigneten Dienste für die direkte Speicherung von API-Schlüsseln im Klartext, da sie nicht die gleichen Sicherheitsfunktionen und Verwaltungsmöglichkeiten für Geheimnisse bieten wie Secrets Manager oder der Parameter Store. Die vorgeschlagenen resolve-Referenzen für DynamoDB und S3 sind zudem keine Standard-CloudFormation-Funktionen für den direkten Zugriff auf Inhalte.