Ein Prozess ruft automatisch API-Anmeldeinformationen für mehrere Bankquellen ab und ruft eine Lambda-Funktion auf, die an eine CloudFormation-Benutzerressource gebunden ist. Der Entwickler möchte diese API-Anmeldeinformationen mit minimalem Betriebsaufwand und maximaler Sicherheit speichern. Welcher Ansatz ist der sicherste und erfordert den geringsten Betriebsaufwand?

Die korrekte Antwort ist, die SSM PutParameter API von der Lambda-Funktion (benutzerdefinierte Ressource) aufzurufen, um die Anmeldeinformationen als SecureString-Parameter zu speichern. Dies ist der sicherste Ansatz mit dem geringsten Betriebsaufwand, da Secrets Manager und SSM Parameter Store (mit SecureString) die Verschlüsselung von ruhenden Daten übernehmen und die Rotation von Anmeldeinformationen unterstützen. Die Lambda-Funktion, die als benutzerdefinierte Ressource fungiert, kann die Anmeldeinformationen dynamisch abrufen und sicher speichern, ohne dass sie direkt in der CloudFormation-Vorlage offengelegt werden. Das Hinzufügen einer AWS Secrets Manager GenerateSecretString-Ressource zur CloudFormation-Vorlage ist nicht ideal, da die Anmeldeinformationen bereits von einem externen Prozess abgerufen werden und nicht von Secrets Manager generiert werden müssen. Das Hinzufügen einer SSM Parameter Store-Ressource direkt in CloudFormation mit NoEcho ist weniger sicher, da die Anmeldeinformationen immer noch im Klartext in der Vorlage vorhanden sein könnten, bevor sie verschlüsselt werden. Das Setzen des NoEcho-Attributs auf true für den Parameter ist nicht dasselbe wie die Verwendung eines SecureString-Typs; NoEcho verhindert lediglich die Ausgabe des Werts, verschlüsselt ihn aber nicht.