Eine Social-Media-App verwendet das AWS SDK for JavaScript im Browser, um Benutzeranmeldeinformationen von AWS STS zu erhalten. App-Assets werden in einem S3-Bucket gespeichert und über eine CloudFront-Distribution mit dem S3-Bucket als Origin bereitgestellt. Derzeit werden die Rollenanmeldeinformationen, die die App annimmt, im Klartext in einer JSON-Datei im Frontend-Code gespeichert. Der Entwickler muss fest codierte Anmeldeinformationen entfernen, während die App weiterhin Anmeldeinformationen erhalten kann. Welcher Ansatz erfüllt diese Anforderung?

Die korrekte Option löst das Problem der hartkodierten Anmeldeinformationen, indem sie die Logik zum Abrufen von AWS STS-Anmeldeinformationen in eine Lambda@Edge-Funktion verlagert. Lambda@Edge-Funktionen können bei Viewer-Anfragen ausgeführt werden und haben eine IAM-Rolle, die Berechtigungen zum Aufrufen von AWS STS erhalten kann, ohne dass Anmeldeinformationen im Frontend-Code gespeichert werden müssen. Dies ist eine bewährte Methode zur Sicherung von Anmeldeinformationen. Die Option mit CloudFront Functions ist falsch, da CloudFront Functions keine externen Netzwerkaufrufe (wie zu AWS STS) tätigen können. Sie sind für einfache Manipulationen von Anfragen und Antworten am Edge konzipiert. Die Optionen, die die Anmeldeinformationen aus der JSON-Datei in die Funktion verschieben, sind ebenfalls falsch, da dies das Problem der hartkodierten Anmeldeinformationen nicht löst, sondern sie lediglich an einen anderen Ort verlagert, anstatt sie dynamisch und sicher über eine IAM-Rolle zu verwalten.