Durante la revisione di un template AWS CloudFormation, un ingegnere della sicurezza rileva un parametro con un valore predefinito che espone una chiave API dell'applicazione in testo in chiaro. Il valore è referenziato più volte nel template. L'ingegnere deve sostituire il parametro, mantenendo la possibilità di referenziare il valore in tutto il template. Qual è la soluzione più sicura?

La risposta corretta è archiviare la chiave API in AWS Secrets Manager e referenziarla con {{resolve:secretsmanager:MySecretId:SecretString}}. Secrets Manager è progettato specificamente per la gestione sicura di credenziali, chiavi API e altri segreti, offrendo funzionalità come la rotazione automatica e la crittografia a riposo e in transito. L'utilizzo di {{resolve:secretsmanager:...}} in CloudFormation consente di recuperare il segreto in modo sicuro al momento della creazione o dell'aggiornamento dello stack, senza esporlo nel template. Le altre opzioni sono meno sicure o non adatte: Systems Manager Parameter Store con SecureString: Sebbene sia una buona opzione per parametri sensibili, Secrets Manager offre funzionalità di gestione dei segreti più avanzate, come la rotazione automatica, che sono cruciali per le chiavi API. Amazon DynamoDB: Non è progettato per archiviare segreti e non offre le stesse garanzie di sicurezza o funzionalità di gestione dei segreti di Secrets Manager. Amazon S3: Non è una soluzione sicura per archiviare chiavi API in testo chiaro, anche se l'accesso è limitato, poiché manca delle funzionalità di gestione dei segreti e di crittografia specifiche per questo scopo.