Eine Lambda-Funktion, die nach einem Zeitplan ausgeführt wird, muss sich mit einem API-Schlüssel bei einem Drittanbietersystem authentifizieren. Der API-Schlüssel muss im Ruhezustand verschlüsselt bleiben. Welcher Ansatz erfüllt diese Anforderung?

Die Speicherung des API-Schlüssels in den Umgebungsvariablen der Lambda-Funktion, verschlüsselt mit einem kundenverwalteten AWS KMS-Schlüssel, ist die sicherste und praktikabelste Methode. AWS Lambda bietet eine native Integration mit KMS, um Umgebungsvariablen im Ruhezustand zu verschlüsseln, was die Anforderung erfüllt. Die Anwendung muss den Benutzer nicht nach einem Passwort fragen, da dies für eine zeitgesteuerte Funktion unpraktisch ist. Das Festlegen des API-Schlüssels im Quellcode ist eine schlechte Sicherheitspraxis, da er dann leicht zugänglich wäre. Lambda@Edge ist für die Ausführung von Code an Edge-Standorten gedacht und löst nicht das Problem der sicheren Speicherung von API-Schlüsseln für eine Backend-Funktion.