Un développeur crée une ressource personnalisée CloudFormation, adossée à une fonction Lambda, pour configurer un domaine Amazon OpenSearch Service. La fonction Lambda doit utiliser les identifiants de l'utilisateur maître interne d'OpenSearch pour accéder au domaine. Quelle est la méthode la plus sécurisée pour fournir ces identifiants à la fonction Lambda ?

La méthode la plus sécurisée consiste à utiliser AWS Secrets Manager. Secrets Manager est conçu pour stocker, gérer et récupérer des informations sensibles de manière sécurisée. En créant un secret via CloudFormation, les identifiants sont chiffrés au repos et en transit. La référence dynamique CloudFormation permet d'injecter le secret directement dans les MasterUserOptions d'OpenSearch sans l'exposer dans le modèle. Pour la fonction Lambda, le rôle IAM avec secretsmanager:GetSecretValue lui permet de récupérer le secret au moment de l'exécution, évitant ainsi de stocker les identifiants dans des variables d'environnement ou des paramètres CloudFormation. Les autres options sont moins sécurisées : Transmettre les identifiants en tant que paramètre CloudFormation, même avec NoEcho=true, peut exposer les informations dans l'historique des événements CloudFormation ou les journaux. Utiliser Systems Manager Parameter Store est une amélioration, mais Secrets Manager offre des fonctionnalités de rotation automatique et une gestion des accès plus granulaires spécifiquement pour les secrets. Chiffrer la valeur du paramètre KMS n'empêche pas l'exposition de la valeur chiffrée et nécessite une gestion manuelle du déchiffrement.