Una aplicación serverless en CodeCommit contiene nombres de usuario y contraseñas de bases de datos codificados. Un ingeniero de DevOps debe detectar y prevenir automáticamente los secretos codificados. ¿Cuál es la solución MÁS segura que cumple con estos requisitos?

La opción correcta es asociar el repositorio de CodeCommit con Amazon CodeGuru Reviewer. CodeGuru Reviewer está diseñado para detectar automáticamente secretos codificados y otras vulnerabilidades de seguridad en el código. Al revisar manualmente las recomendaciones, el ingeniero puede elegir la opción para proteger el secreto, lo que implica moverlo a un servicio de gestión de secretos. AWS Secrets Manager es el servicio más seguro y apropiado para almacenar y gestionar secretos, ya que ofrece rotación automática, cifrado y control de acceso granular. Luego, las plantillas SAM y el código Python deben actualizarse para recuperar el secreto de Secrets Manager en tiempo de ejecución, eliminando así el secreto codificado del código fuente. Las opciones incorrectas son menos seguras o no cumplen completamente con los requisitos: Habilitar Amazon CodeGuru Profiler no es la solución adecuada, ya que Profiler se centra en el rendimiento de la aplicación, no en la detección de secretos codificados. Escribir el secreto en AWS Systems Manager Parameter Store como una cadena (no segura) es menos seguro que usar Secrets Manager o una cadena segura en Parameter Store. Parameter Store es adecuado para configuraciones, pero Secrets Manager está optimizado para secretos.