Ein Projekt auf Amazon Linux hat eine Sicherheitsüberprüfung nicht bestanden. Sie überprüfen eine CodeBuild buildspec.yaml und müssen Sicherheitsempfehlungen aussprechen. Welche Änderungen folgen den AWS Best Practices? (Wählen Sie drei.)

Die Zuweisung der erforderlichen Berechtigungen zur IAM-Servicerolle des CodeBuild-Projekts und das Entfernen von AWS-Anmeldeinformationen aus Umgebungsvariablen folgt dem Prinzip der geringsten Rechte und vermeidet die Speicherung sensibler Daten im Klartext. Das Speichern von DBPASSWORD als SecureString im AWS Systems Manager Parameter Store ist eine Best Practice für die sichere Verwaltung von Geheimnissen, da es Verschlüsselung und Zugriffssteuerung bietet und die direkte Speicherung im Build-Prozess vermeidet. Die Verwendung von AWS Systems Manager Run Command anstelle von scp und ssh für die Interaktion mit Instanzen erhöht die Sicherheit, da es keine offenen SSH-Ports erfordert, die Zugriffskontrolle über IAM ermöglicht und Audit-Trails bietet. Das Löschen temporärer Dateien ist zwar eine gute Praxis, aber nicht direkt eine Sicherheitsempfehlung für die buildspec.yaml, da CodeBuild-Container nach dem Build-Prozess beendet und verworfen werden. Das Speichern von Umgebungsvariablen in S3-Objekten ist weniger sicher als der Parameter Store, da S3-Buckets möglicherweise nicht die gleiche Granularität an Zugriffssteuerung oder Verschlüsselung für Geheimnisse bieten. Das Verschleiern von Umgebungsvariablen durch XOR- und Base64-Kodierung ist keine sichere Methode, da diese leicht rückgängig gemacht werden kann und keine echte Verschlüsselung darstellt.