Die Unternehmensrichtlinie schreibt vor, dass alle API-Schlüssel verschlüsselt und in einem zentralen Sicherheitskonto, das vom Sicherheitsteam verwaltet wird, getrennt vom Quellcode gespeichert werden müssen. Eine Prüfung ergab, dass ein API-Schlüssel zusammen mit dem Quellcode einer AWS Lambda-Funktion in einem AWS CodeCommit-Repository im DevOps-Konto committet wurde. Wie sollte das Sicherheitsteam den API-Schlüssel sicher speichern?

Die korrekte Antwort ist, ein Secret in AWS Secrets Manager im Sicherheitskonto zu erstellen, das mit AWS KMS verschlüsselt ist, und der IAM-Rolle der Lambda-Funktion die Berechtigung zum Abrufen des Secrets zu erteilen. Dies erfüllt die Anforderung, den API-Schlüssel verschlüsselt und getrennt vom Quellcode in einem zentralen Sicherheitskonto zu speichern. Secrets Manager bietet zudem Funktionen zur Rotation und detaillierten Zugriffskontrolle. Die Option, ein CodeCommit-Repository im Sicherheitskonto zu erstellen und den Lambda-Quellcode dorthin zu verschieben, ist keine geeignete Methode zur Speicherung von API-Schlüsseln, da diese weiterhin im Quellcode vorhanden wären. Das Speichern des API-Schlüssels in einem S3-Bucket und das Verwenden einer Presigned URL ist unsicher, da die URL abfangen und missbraucht werden könnte. Die Verwendung einer verschlüsselten Umgebungsvariablen für die Lambda-Funktion ist zwar besser als die Speicherung im Quellcode, widerspricht aber der Richtlinie, den Schlüssel in einem zentralen Sicherheitskonto zu speichern, da Umgebungsvariablen an die jeweilige Funktion gebunden sind.