Un equipo está creando una aplicación sin servidor y debe almacenar una clave de API externa como parte de una configuración de AWS Lambda. El equipo requiere control total sobre las claves de AWS KMS que cifrarán la clave de API y quiere que el material de la clave sea accesible solo para los principales autorizados. ¿Qué opción satisface estos requisitos?

La opción correcta es almacenar la clave de API en las variables de entorno de la función Lambda y usar una clave de AWS KMS administrada por el cliente (CMK) para cifrarla. AWS Lambda integra el cifrado de variables de entorno con KMS. Al especificar una CMK, el equipo obtiene control total sobre la clave de cifrado y sus políticas de acceso, cumpliendo el requisito de que solo los principales autorizados puedan acceder al material de la clave. Las otras opciones son incorrectas porque: Guardar la clave de API en Parameter Store con una clave KMS administrada por AWS no proporciona el control total sobre la clave que el equipo requiere. Mantener la clave de API en el repositorio de código fuente es una mala práctica de seguridad, ya que expone la clave directamente en el código. Almacenar la clave en DynamoDB con una clave KMS administrada por AWS tampoco ofrece el control granular sobre la clave de cifrado que el equipo necesita.