Un team sta creando un'applicazione serverless e deve archiviare una chiave API esterna come parte di una configurazione AWS Lambda. Il team richiede il controllo completo sulle chiavi AWS KMS che crittograferanno la chiave API e desidera che il materiale della chiave sia accessibile solo a principal autorizzati. Quale opzione soddisfa questi requisiti?

L'opzione corretta è archiviare la chiave API nelle variabili d'ambiente della funzione Lambda e utilizzare una chiave AWS KMS gestita dal cliente. Le variabili d'ambiente di Lambda sono crittografate a riposo. L'uso di una chiave KMS gestita dal cliente (CMK) offre al team il controllo completo sulla chiave di crittografia, inclusa la gestione delle policy di accesso e la rotazione della chiave, soddisfacendo il requisito di controllo completo e accesso solo a principal autorizzati. Le altre opzioni sono meno appropriate: Salvare la chiave API in Parameter Store come parametro String e affidarsi alla chiave KMS predefinita gestita da AWS non offre il controllo completo sulla chiave di crittografia richiesto. Mantenere la chiave API nel repository del codice sorgente è una pratica di sicurezza sconsigliata, poiché espone la chiave a chiunque abbia accesso al codice. Archiviare la chiave API in una tabella DynamoDB con una chiave KMS gestita da AWS non offre il controllo granulare sulla chiave di crittografia richiesto per la chiave API specifica, e DynamoDB non è la soluzione ideale per la gestione di segreti sensibili.