Une équipe développe une application sans serveur et doit stocker une clé API externe dans la configuration d'une fonction AWS Lambda. L'équipe exige un contrôle total sur les clés AWS KMS qui chiffreront la clé API et souhaite que le matériel de la clé ne soit accessible qu'aux mandataires autorisés. Quelle option répond à ces exigences ?

L'option correcte est de stocker la clé API dans les variables d'environnement de la fonction Lambda et d'utiliser une clé AWS KMS gérée par le client (CMK) pour le chiffrement. Les variables d'environnement Lambda peuvent être chiffrées au repos à l'aide d'une CMK, offrant ainsi le contrôle total sur la clé KMS et son matériel, comme l'exige l'équipe. L'utilisation d'une CMK permet de définir des politiques d'accès précises pour les mandataires autorisés. Les autres options sont incorrectes car : Le stockage dans AWS Systems Manager Parameter Store avec une clé KMS gérée par AWS ne donne pas un contrôle total sur la clé. Conserver la clé API dans le référentiel de code source est une mauvaise pratique de sécurité car cela expose la clé. Stocker la clé dans Amazon DynamoDB avec une clé KMS gérée par AWS ne répond pas à l'exigence de contrôle total sur la clé KMS.