Apex Games mantiene i segreti di produzione (password di database e token API) in AWS Secrets Manager di un account di sicurezza dedicato. A causa delle policy, i carichi di lavoro in altri account AWS non possono assumere ruoli cross-account. I carichi di lavoro devono leggere questi segreti direttamente in fase di esecuzione. Qual è il modo PIÙ sicuro per abilitare questa funzionalità?

L'opzione corretta è la più sicura perché le policy basate sulle risorse di Secrets Manager consentono un controllo granulare su quali identità (ruoli IAM) possono accedere a specifici segreti, anche tra account diversi. L'aggiornamento della policy della chiave KMS garantisce che solo i ruoli autorizzati possano decrittografare i segreti. Le altre opzioni sono meno sicure o non fattibili: La replica cross-account dei segreti non è una funzionalità nativa di Secrets Manager per la sincronizzazione diretta tra account e non risolve il problema dell'accesso sicuro. Spostare i segreti in Systems Manager Parameter Store e condividerli tramite RAM non è l'opzione più sicura. Sebbene RAM possa condividere risorse, la gestione dei segreti è la funzione principale di Secrets Manager, che offre policy più robuste. La creazione di endpoint VPC di interfaccia abilita la connettività privata, ma non concede l'autorizzazione per accedere ai segreti tra account; sono comunque necessarie policy IAM e di Secrets Manager.