Eine auf Amazon EC2 ausgeführte Anwendung muss eine Chat-Nachricht an das Support-Team des Unternehmens senden, wenn sie eine ungültige Transaktion erkennt. Um die Chat-API aufzurufen, benötigt sie ein Zugriffstoken, das im Ruhezustand und während der Übertragung verschlüsselt sein muss und von anderen AWS-Konten aus zugänglich sein muss. Welcher Ansatz erfüllt diese Anforderungen bei minimalem Verwaltungsaufwand?

AWS Secrets Manager ist die beste Lösung zum Speichern und Verwalten von Geheimnissen wie Zugriffstoken. Es bietet automatische Rotation, feingranulare Zugriffssteuerung und Verschlüsselung im Ruhezustand und während der Übertragung. Die Verwendung eines kundenverwalteten Schlüssels (CMK) in AWS KMS bietet zusätzliche Kontrolle über den Verschlüsselungsschlüssel. Ressourcenbasierte Richtlinien ermöglichen einen einfachen, sicheren Zugriff von anderen AWS-Konten. Die EC2-Instance-Rolle benötigt lediglich Berechtigungen für Secrets Manager, der die Entschlüsselung automatisch übernimmt. Das Speichern in Parameter Store SecureString ist eine Option, aber Secrets Manager bietet mehr Funktionen für Geheimnisse. Das Speichern in DynamoDB oder S3 erfordert eine manuelle Verschlüsselung und Entschlüsselung auf der EC2-Instance, was komplexer ist und mehr Verwaltungsaufwand bedeutet.