あるチームがサーバーレスアプリケーションを構築しており、外部APIキーをAWS Lambda設定の一部として保存する必要があります。チームは、APIキーを暗号化するAWS KMSキーを完全に制御し、キーマテリアルが承認されたプリンシパルのみにアクセス可能であることを求めています。これらの要件を満たすオプションはどれですか？

正解は、APIキーをLambda関数の環境変数に保存し、チームが制御するカスタマーマネージドAWS KMSキーを使用して暗号化することです。Lambda環境変数は、機密情報を安全に保存するための推奨される方法であり、KMSキーで暗号化できます。チームがKMSキーを完全に制御できるため、キーマテリアルへのアクセスを承認されたプリンシパルのみに制限できます。 不正解の選択肢: Systems Manager Parameter StoreにStringパラメータとして保存し、デフォルトのAWSマネージドKMSキーを使用する場合、チームはKMSキーを完全に制御できません。 APIキーをソースコードリポジトリに保持することは、セキュリティのベストプラクティスではありません。 DynamoDBテーブルに保存する場合、Lambda環境変数よりもアクセス制御が複雑になり、Lambda関数からAPIキーにアクセスするための追加のコードが必要になります。