Apex Games guarda los secretos de producción (contraseñas de bases de datos y tokens de API) en AWS Secrets Manager de una cuenta de seguridad dedicada. Debido a la política, las cargas de trabajo en otras cuentas de AWS no pueden asumir roles entre cuentas. Las cargas de trabajo deben leer estos secretos directamente en tiempo de ejecución. ¿Cuál es la forma MÁS segura de habilitar esto?

La opción correcta es la más segura porque utiliza políticas basadas en recursos en Secrets Manager y políticas de KMS para controlar el acceso granularmente. Al adjuntar una política basada en recursos directamente a cada secreto, se especifica qué roles de IAM de las cuentas de consumidor pueden realizar la acción GetSecretValue. Además, actualizar la política de la clave KMS o las concesiones para permitir que esos roles descifren la CMK del secreto asegura que solo las entidades autorizadas puedan acceder al contenido cifrado del secreto. Esto cumple con el requisito de que las cargas de trabajo lean los secretos directamente sin asumir roles entre cuentas. La replicación de secretos no es una característica nativa de Secrets Manager para compartir entre cuentas. Mover los secretos a Parameter Store y usar RAM podría funcionar, pero Secrets Manager ofrece características de rotación y gestión de credenciales más robustas. Crear VPC endpoints de interfaz solo proporciona conectividad privada, pero no gestiona la autorización de acceso a los secretos.