Uno sviluppatore sta creando una risorsa personalizzata CloudFormation supportata da una funzione Lambda per configurare un dominio Amazon OpenSearch Service. La funzione Lambda deve utilizzare le credenziali dell'utente master interno di OpenSearch per accedere al dominio. Qual è il modo più sicuro per fornire queste credenziali alla funzione Lambda?

L'opzione corretta è la più sicura perché Secrets Manager è progettato specificamente per archiviare e gestire credenziali sensibili, inclusa la rotazione automatica. L'uso di un riferimento dinamico CloudFormation per MasterUserOptions garantisce che le credenziali non siano esposte direttamente nel modello CloudFormation. La funzione Lambda recupera il segreto in fase di esecuzione utilizzando un ruolo IAM con privilegi minimi (secretsmanager:GetSecretValue), evitando di memorizzare le credenziali direttamente nelle variabili d'ambiente. Le altre opzioni sono meno sicure: Passare le credenziali come parametro CloudFormation (anche con NoEcho=true) o in variabili d'ambiente, sebbene oscuri il valore, non fornisce la stessa sicurezza di gestione e rotazione di Secrets Manager. Utilizzare Systems Manager Parameter Store è migliore delle variabili d'ambiente dirette, ma Secrets Manager offre funzionalità aggiuntive per la gestione dei segreti, come la rotazione automatica e l'integrazione con altri servizi. Crittografare il valore del parametro con AWS KMS encrypt non è sufficiente, poiché il valore crittografato sarebbe comunque presente nel modello CloudFormation o nelle variabili d'ambiente, richiedendo una gestione manuale della decrittografia e della rotazione.