Un progetto su Amazon Linux non ha superato una revisione di sicurezza. Stai esaminando un file buildspec.yaml di CodeBuild e devi raccomandare miglioramenti alla sicurezza. Quali modifiche seguono le best practice di AWS? (Scegliere tre.)

Le opzioni corrette seguono le best practice di sicurezza AWS. Concedere al ruolo di servizio IAM solo le autorizzazioni necessarie (principio del privilegio minimo) è fondamentale per la sicurezza e previene l'esposizione di credenziali hardcoded nelle variabili d'ambiente. Archiviare informazioni sensibili come DBPASSWORD in AWS Systems Manager Parameter Store come SecureString è il metodo consigliato per gestire i segreti, evitando di esporli direttamente nel buildspec o nelle variabili d'ambiente. Usare AWS Systems Manager Run Command per interagire con le istanze è più sicuro di scp e ssh perché non richiede l'apertura di porte SSH o la gestione di chiavi, e permette un controllo granulare tramite IAM. Le opzioni errate non seguono le best practice. Eliminare file temporanei post-build non impedisce l'accesso ad altri utenti CodeBuild, poiché ogni build viene eseguita in un container isolato che viene terminato. Spostare variabili d'ambiente in un bucket S3 e scaricarle non è più sicuro di Parameter Store e introduce complessità. Offuscare le variabili tramite XOR e Base64 non è una misura di sicurezza efficace, poiché è facilmente reversibile e non protegge i segreti in transito o a riposo come farebbe Parameter Store.