Un equipo almacena la contraseña de la base de datos de una aplicación en AWS Secrets Manager. Solo un conjunto limitado y frecuentemente cambiante de entidades principales de IAM debería poder acceder al secreto. Un ingeniero de seguridad necesita una solución que maximice la flexibilidad y la escalabilidad. ¿Qué enfoque cumple estos requisitos?

El enfoque basado en etiquetas es el más flexible y escalable. Permite controlar el acceso dinámicamente sin modificar las políticas de IAM o de recursos cada vez que una entidad principal cambia. Al etiquetar el secreto y las entidades principales de IAM, y usar las condiciones aws:PrincipalTag y aws:ResourceTag en una política basada en recursos, se puede conceder o revocar el acceso simplemente cambiando las etiquetas. El enfoque basado en roles requeriría actualizar la política de confianza del rol constantemente, lo cual es menos escalable. Un VPC endpoint de interfaz con una política de endpoint solo controla el acceso a través del endpoint, no las entidades principales de IAM directamente. El enfoque de denegación por defecto es ineficiente y propenso a errores, ya que requiere agregar y eliminar entidades principales de un grupo constantemente.