Eine Amazon API Gateway API ruft eine AWS Lambda-Funktion auf, die eine SaaS-Plattform aufrufen muss. Die SaaS-Plattform stellt ein eindeutiges Client-Token zur Autorisierung der Lambda-Funktion aus. Ein Sicherheitsingenieur muss das Token im Ruhezustand verschlüsseln und es der Lambda-Funktion zur Laufzeit auf die kostengünstigste Weise zur Verfügung stellen. Welche Lösung erfüllt diese Anforderungen?

Die Speicherung des Tokens als SecureString-Parameter im AWS Systems Manager Parameter Store ist die kostengünstigste Lösung. Parameter Store bietet kostenlose Speicherung für Standard-Parameter und SecureString-Parameter werden automatisch mit AWS KMS verschlüsselt. Die Lambda-Funktion kann das Token zur Laufzeit über das AWS SDK abrufen. AWS Secrets Manager bietet ähnliche Funktionalität, ist aber im Allgemeinen teurer, da er für die Rotation von Secrets und erweiterte Audit-Funktionen konzipiert ist, die für ein einzelnes Client-Token nicht benötigt werden. Ein Token-basierter Lambda-Authorizer ist für die Autorisierung von API-Aufrufen gedacht, nicht für die Speicherung eines Tokens, das eine Lambda-Funktion zur Authentifizierung bei einem Drittanbieterdienst verwendet. Die direkte Verschlüsselung des Tokens mit AWS KMS und die Übergabe als Umgebungsvariable ist unsicher, da Umgebungsvariablen im Klartext gespeichert werden und das Token bei jedem Funktionsaufruf entschlüsselt werden müsste, was zusätzliche Kosten und Komplexität verursacht.