Vous avez créé une clé AWS KMS gérée par le client et devez vous assurer que les données de configuration sensibles (clés API, etc.) utilisées par une application basée sur Lambda sont chiffrées en transit. Que devez-vous faire ensuite pour satisfaire l'exigence de chiffrement ?

L'option correcte est d'utiliser des variables d'environnement Lambda chiffrées avec la clé KMS gérée par le client. AWS Lambda prend en charge le chiffrement des variables d'environnement au repos en utilisant une clé KMS. Pour le chiffrement en transit, Lambda déchiffre automatiquement ces variables lors de l'invocation de la fonction, garantissant que les données sensibles ne sont jamais exposées en clair. Il est essentiel d'accorder au rôle d'exécution de la fonction les permissions nécessaires pour déchiffrer avec la clé KMS. Les autres options sont moins optimales ou incorrectes : Stocker les valeurs dans Parameter Store avec un type String ne garantit pas le chiffrement en transit de manière native pour les variables d'environnement Lambda sans étapes supplémentaires. AWS Secrets Manager est une bonne option pour les secrets, mais l'exigence de créer une nouvelle fonction Lambda et une couche Lambda pour récupérer les valeurs est une complexité inutile pour ce cas d'usage spécifique des variables d'environnement. Placer chaque champ sensible dans S3 est une approche inefficace et complexe pour gérer des configurations d'application, augmentant la latence et la surface d'attaque.