Amazon Linux의 프로젝트가 보안 검토에 실패했습니다. CodeBuild buildspec.yaml을 검토하고 보안 개선 사항을 권장해야 합니다. AWS 모범 사례를 따르는 변경 사항은 무엇입니까? (세 가지 선택)

CodeBuild 프로젝트의 IAM 서비스 역할에 필요한 권한을 부여하고 환경 변수에 저장된 AWS 자격 증명을 제거하는 것은 AWS 모범 사례입니다. 환경 변수에 자격 증명을 저장하는 것은 보안 위험이 있으며, IAM 역할을 사용하면 최소 권한 원칙을 따를 수 있습니다. DBPASSWORD를 AWS Systems Manager Parameter Store에 SecureString으로 저장하고 빌드 환경 변수에서 제거하는 것도 민감한 정보를 안전하게 관리하는 방법입니다. Parameter Store는 암호화된 매개변수를 저장할 수 있습니다. 빌드 내에서 scp 및 ssh 대신 AWS Systems Manager Run Command를 사용하는 것은 인스턴스와 안전하게 상호 작용하는 방법입니다. Run Command는 자격 증명 없이 인스턴스에서 명령을 실행할 수 있습니다. 임시 파일을 삭제하는 것은 좋은 습관이지만, 다른 CodeBuild 사용자가 액세스할 수 없도록 하는 것은 CodeBuild의 격리 모델에 의해 이미 처리됩니다. 환경 변수를 S3 버킷에 저장하거나 XOR 및 Base64 인코딩으로 난독화하는 것은 자격 증명을 안전하게 보호하는 방법이 아니며, 오히려 복잡성만 증가시키고 보안 취약점을 만들 수 있습니다.