Ein Team entwickelt eine serverlose Anwendung und muss einen externen API-Schlüssel als Teil einer AWS Lambda-Konfiguration speichern. Das Team benötigt die volle Kontrolle über die AWS KMS-Schlüssel, die den API-Schlüssel verschlüsseln, und möchte, dass das Schlüsselmaterial nur für autorisierte Prinzipale zugänglich ist. Welche Option erfüllt diese Anforderungen?

Die Speicherung des API-Schlüssels in Lambda-Umgebungsvariablen, verschlüsselt mit einem kundenverwalteten KMS-Schlüssel (CMK), erfüllt alle Anforderungen. Lambda entschlüsselt die Umgebungsvariablen zur Laufzeit, und der CMK bietet dem Team die volle Kontrolle über den Schlüssel und seine Zugriffsrichtlinien. Das Speichern im Parameter Store mit einem AWS-verwalteten Schlüssel bietet nicht die volle Kontrolle über den KMS-Schlüssel. Das Ablegen im Quellcode-Repository ist eine Sicherheitslücke, selbst wenn das Repository verschlüsselt ist, da der Schlüssel im Klartext im Code vorhanden wäre. Das Speichern in DynamoDB mit einem AWS-verwalteten Schlüssel bietet ebenfalls nicht die erforderliche Kontrolle über den KMS-Schlüssel und ist für einen einzelnen API-Schlüssel überdimensioniert.