La politique de l'entreprise exige que toutes les clés API soient chiffrées et stockées dans un compte de sécurité centralisé géré par l'équipe de sécurité, séparément du code source. Un audit a révélé une clé API commitée avec le code source d'une fonction AWS Lambda dans un référentiel AWS CodeCommit du compte DevOps. Comment l'équipe de sécurité doit-elle stocker la clé API en toute sécurité ?

L'option correcte est de stocker la clé API dans AWS Secrets Manager. Secrets Manager est conçu pour stocker et gérer en toute sécurité les informations d'identification, y compris les clés API, avec un chiffrement robuste via AWS KMS. En accordant au rôle IAM de la fonction Lambda les autorisations minimales nécessaires pour récupérer le secret, on adhère au principe du moindre privilège et on assure une séparation claire des responsabilités entre le code et les secrets. Les autres options sont moins sécurisées ou ne respectent pas les meilleures pratiques : Stocker le code source avec la clé API dans un référentiel CodeCommit, même chiffré, ne résout pas le problème de la clé commitée avec le code. Utiliser un compartiment S3 pour stocker la clé API, puis la récupérer via une URL pré-signée, est moins idéal que Secrets Manager, qui est spécifiquement conçu pour la gestion des secrets et offre des fonctionnalités de rotation. Stocker la clé API directement dans une variable d'environnement chiffrée de la fonction Lambda n'est pas recommandé car les variables d'environnement peuvent être consultées par des utilisateurs ayant certaines autorisations et ne bénéficient pas des fonctionnalités de gestion du cycle de vie et de rotation de Secrets Manager.