La policy aziendale impone che tutte le chiavi API siano crittografate e archiviate in un account di sicurezza centralizzato gestito dal team di sicurezza, separato dal codice sorgente. Un audit ha rilevato una chiave API commessa con il sorgente di una funzione AWS Lambda in un repository AWS CodeCommit nell'account DevOps. Come dovrebbe il team di sicurezza archiviare la chiave API in modo sicuro?

La risposta corretta è creare un secret in AWS Secrets Manager nell'account di sicurezza, crittografato con AWS KMS, e concedere al ruolo IAM della funzione Lambda l'autorizzazione per recuperare il secret. Questo approccio aderisce alla policy aziendale di centralizzazione e crittografia delle chiavi API in un account di sicurezza separato, e Secrets Manager è progettato specificamente per la gestione sicura di credenziali e segreti. Le altre opzioni sono meno appropriate: Spostare il codice sorgente in un repository CodeCommit nell'account di sicurezza non risolve il problema dell'archiviazione sicura della chiave API, poiché la chiave sarebbe ancora commessa con il codice. Archiviare la chiave in un bucket S3 e usare un URL pre-firmato è meno sicuro e più complesso da gestire rispetto a Secrets Manager, e non è la soluzione ideale per segreti di breve durata o che richiedono rotazione. Archiviare la chiave API in una variabile d'ambiente crittografata per la funzione Lambda non soddisfa il requisito di archiviare la chiave nell'account di sicurezza centralizzato, poiché le variabili d'ambiente sono associate alla funzione stessa nell'account DevOps.