Un'API Amazon API Gateway richiama una funzione AWS Lambda che deve chiamare una piattaforma SaaS. La piattaforma SaaS rilascia un token client univoco per autorizzare la funzione Lambda. Un ingegnere della sicurezza deve crittografare il token a riposo e fornirlo alla funzione Lambda in fase di esecuzione nel modo più conveniente. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è archiviare il token come parametro SecureString in AWS Systems Manager Parameter Store e recuperarlo nella funzione Lambda utilizzando l'AWS SDK. Parameter Store offre un modo conveniente e sicuro per archiviare dati sensibili come i token, crittografandoli automaticamente a riposo con AWS KMS. La funzione Lambda può quindi recuperare il token in fase di esecuzione tramite l'SDK, garantendo che il token non sia esposto nel codice o nelle variabili d'ambiente. Archiviare il token in AWS Secrets Manager è una soluzione valida ma potenzialmente più costosa e complessa per un singolo token, poiché Secrets Manager è progettato per la gestione di segreti più complessi e la loro rotazione. Configurare un autorizzatore Lambda basato su token in API Gateway è irrilevante, poiché l'autorizzatore gestisce l'autenticazione delle richieste ad API Gateway, non l'autorizzazione della funzione Lambda verso una piattaforma SaaS esterna. Utilizzare AWS KMS per crittografare il token e passarlo come variabile d'ambiente non è sicuro, poiché le variabili d'ambiente sono visibili nelle configurazioni della funzione e potrebbero essere esposte.