Una API de Amazon API Gateway invoca una función de AWS Lambda que debe llamar a una plataforma SaaS. La plataforma SaaS emite un token de cliente único para autorizar la función Lambda. Un ingeniero de seguridad debe cifrar el token en reposo y proporcionarlo a la función Lambda en tiempo de ejecución de la manera más rentable. ¿Qué solución cumple estos requisitos?

Almacenar el token como un parámetro SecureString en AWS Systems Manager Parameter Store es la solución más rentable y segura. Parameter Store permite almacenar datos confidenciales de forma cifrada (en reposo y en tránsito) utilizando AWS KMS, sin costo adicional por el almacenamiento de parámetros estándar. La función Lambda puede recuperar el token en tiempo de ejecución utilizando el AWS SDK, que se integra directamente con Parameter Store para descifrar el valor. AWS Secrets Manager es una opción válida y segura, pero tiene un costo asociado por secreto almacenado y por llamada de recuperación, lo que lo hace menos rentable para este caso. Un autorizador Lambda basado en tokens en API Gateway no es aplicable porque el token es para la función Lambda al llamar a un SaaS, no para autorizar la API Gateway. Cifrar el token con KMS y pasarlo como variable de entorno no es seguro, ya que las variables de entorno no están diseñadas para datos sensibles y podrían exponerse.