Eine serverlose Anwendung verwendet Amazon API Gateway, AWS Lambda und Amazon DynamoDB. Die Lambda-Funktion benötigt Berechtigungen zum Lesen und Schreiben in die DynamoDB-Tabelle. Welche Lösung bietet der Lambda-Funktion den SICHERSTEN Zugriff auf die DynamoDB-Tabelle?

Die sicherste Methode ist die Verwendung einer IAM-Rolle als Ausführungsrolle für die Lambda-Funktion. Diese Rolle gewährt der Funktion temporäre Anmeldeinformationen, ohne dass statische Schlüssel im Code oder in Umgebungsvariablen gespeichert werden müssen. AWS Lambda übernimmt die Verwaltung dieser Anmeldeinformationen automatisch. Die Option, IAM-Benutzer mit Zugriffsschlüsseln in Umgebungsvariablen zu verwenden, ist unsicher, da die Schlüssel offengelegt werden könnten. Das Speichern von Schlüsseln im Systems Manager Parameter Store ist zwar sicherer als Umgebungsvariablen, erfordert aber zusätzlichen Code zur Abfrage und birgt immer noch das Risiko, dass die Schlüssel bei unsachgemäßer Handhabung offengelegt werden. Eine IAM-Rolle, die DynamoDB als vertrauenswürdigen Dienst einschließt, ist falsch, da die Rolle von der Lambda-Funktion angenommen werden muss, nicht von DynamoDB.