Ein Entwickler erstellt eine CloudFormation-benutzerdefinierte Ressource, die von einer Lambda-Funktion unterstützt wird, um eine Amazon OpenSearch Service-Domain zu konfigurieren. Die Lambda-Funktion muss die internen Master-Benutzeranmeldeinformationen von OpenSearch verwenden, um auf die Domain zuzugreifen. Was ist der sicherste Weg, diese Anmeldeinformationen der Lambda-Funktion bereitzustellen?

Die sicherste Methode ist die Verwendung von AWS Secrets Manager. Secrets Manager ist speziell für die sichere Speicherung und Rotation von Anmeldeinformationen konzipiert. Durch die Erstellung eines Secrets über CloudFormation und den dynamischen Verweis darauf für die OpenSearch-Domain wird sichergestellt, dass die Anmeldeinformationen niemals direkt in CloudFormation-Vorlagen oder -Logs erscheinen. Die Lambda-Funktion erhält eine IAM-Rolle mit der Berechtigung secretsmanager:GetSecretValue, um das Secret zur Laufzeit abzurufen, was das Prinzip der geringsten Rechte (least privilege) wahrt. Die Option, Anmeldeinformationen als CloudFormation-Parameter mit NoEcho=true zu übergeben, ist weniger sicher, da der Wert immer noch in der CloudFormation-Konsole sichtbar sein kann und nicht für die Rotation ausgelegt ist. Die Verschlüsselung mit KMS ist zwar besser, aber Secrets Manager bietet eine umfassendere Lösung für das Management von Geheimnissen. Die Verwendung von Systems Manager Parameter Store ist eine gute Alternative, aber Secrets Manager ist speziell für Anmeldeinformationen optimiert und bietet zusätzliche Funktionen wie die automatische Rotation.