La política de la empresa exige que todas las claves de API se cifren y almacenen en una cuenta de seguridad centralizada gestionada por el equipo de seguridad, separada del código fuente. Una auditoría encontró una clave de API comprometida con el código fuente de una función de AWS Lambda en un repositorio de AWS CodeCommit en la cuenta de DevOps. ¿Cómo debe el equipo de seguridad almacenar la clave de API de forma segura?

La opción correcta cumple con la política de la empresa de almacenar claves API cifradas en una cuenta de seguridad centralizada. AWS Secrets Manager está diseñado específicamente para almacenar y gestionar secretos de forma segura, incluyendo claves API, y permite el cifrado con AWS KMS. Al otorgar al rol de IAM de la función Lambda permisos para recuperar el secreto, la función puede acceder a la clave sin que esta esté expuesta en el código fuente o en variables de entorno. Las opciones incorrectas son: La primera opción no aborda el problema de la clave API en el código fuente; simplemente mueve el código a otro repositorio. La segunda opción expone la clave API a través de una URL prefirmada, lo cual no es seguro, y requiere que la función descargue la clave, añadiendo complejidad innecesaria. La cuarta opción, aunque cifra la variable de entorno con KMS, sigue almacenando la clave API directamente en la configuración de la función Lambda, lo cual es menos seguro que usar Secrets Manager y no cumple con la política de centralización en una cuenta de seguridad.