会社のポリシーでは、すべてのAPIキーを暗号化し、ソースコードとは別に、セキュリティチームが管理する一元化されたセキュリティアカウントに保存することが義務付けられています。監査の結果、DevOpsアカウントのAWS CodeCommitリポジトリにあるAWS Lambda関数のソースにAPIキーがコミットされていることが判明しました。セキュリティチームはAPIキーをどのように安全に保存すべきですか？

このソリューションは、会社のポリシーに完全に準拠しています。AWS Secrets Managerは、APIキーのような機密情報を一元的に安全に保存するための専用サービスです。KMSで暗号化することで、保存時のセキュリティが確保されます。Lambda関数は、必要なときにSecrets Managerからキーをプログラムで取得し、そのIAMロールに付与された最小限の権限でアクセスを制御できます。 最初の選択肢は、APIキーをソースコードとともに保存することになり、ポリシーに違反します。2番目の選択肢は、S3バケットにキーを保存し、署名付きURLを使用しますが、これはSecrets Managerほど安全でなく、管理も複雑になります。最後の選択肢は、Lambdaの環境変数を使用しますが、これはSecrets Managerほど安全ではなく、キーのローテーションなどの管理も困難です。