Apex Games는 프로덕션 보안 정보(데이터베이스 암호 및 API 토큰)를 전용 보안 계정의 AWS Secrets Manager에 보관합니다. 정책에 따라 다른 AWS 계정의 워크로드는 교차 계정 역할을 맡을 수 없습니다. 워크로드는 런타임에 이러한 보안 정보를 직접 읽어야 합니다. 이를 활성화하는 가장 안전한 방법은 무엇입니까?

이 방법은 최소 권한 원칙을 따릅니다. Secrets Manager 리소스 기반 정책을 통해 특정 소비자 계정의 IAM 역할만 해당 보안 정보에 접근할 수 있도록 명시적으로 허용하고, KMS 키 정책 또는 권한 부여를 통해 암호화된 보안 정보를 해독할 수 있는 권한을 부여합니다. 이는 보안 정보를 직접 노출하지 않고 필요한 워크로드에만 접근을 허용하는 가장 안전한 방법입니다. Secrets Manager에서 교차 계정 보안 정보 복제를 활성화하는 것은 보안 정보를 여러 계정에 분산시켜 관리 복잡성을 높이고 공격 표면을 확장할 수 있습니다. 보안 정보를 Systems Manager Parameter Store로 이동하고 RAM을 사용하는 것은 Secrets Manager의 고급 보안 기능(예: 자동 순환)을 활용하지 못하게 할 수 있습니다. 인터페이스 VPC 엔드포인트는 네트워크 접근성을 제공하지만, 계정 간 접근 제어 정책을 대체하지는 않습니다.