Un proyecto en Amazon Linux no superó una revisión de seguridad. Está revisando un buildspec.yaml de CodeBuild y debe recomendar mejoras de seguridad. ¿Qué cambios siguen las mejores prácticas de AWS? (Elija tres).

Otorgar al rol de servicio de IAM de CodeBuild solo los permisos necesarios (principio de privilegio mínimo) y eliminar credenciales de las variables de entorno mejora la seguridad al reducir la superficie de ataque y evitar la exposición accidental de credenciales. Almacenar DBPASSWORD como SecureString en Parameter Store y eliminarla de las variables de entorno es una práctica recomendada para gestionar secretos, ya que Parameter Store cifra los datos en reposo y en tránsito. Usar AWS Systems Manager Run Command en lugar de scp y ssh para interactuar con instancias es más seguro porque Run Command utiliza el agente SSM y roles de IAM para la autenticación y autorización, eliminando la necesidad de claves SSH o credenciales incrustadas en el buildspec.yaml. Las opciones incorrectas son: Eliminar archivos temporales no aborda la seguridad de las credenciales ni la comunicación segura. Mover variables a S3 y descargarlas no es tan seguro como usar Parameter Store para secretos y no resuelve el problema de la exposición de credenciales. Ofuscar variables mediante XOR y Base64 no es un método de seguridad robusto; es fácilmente reversible y no protege los secretos de manera efectiva.