Een Amazon API Gateway API roept een AWS Lambda-functie aan die een SaaS-platform moet aanroepen. Het SaaS-platform geeft een unieke clienttoken uit om de Lambda-functie te autoriseren. Een beveiligingsingenieur moet de token in rust versleutelen en deze tijdens runtime op de meest kosteneffectieve manier aan de Lambda-functie leveren. Welke oplossing voldoet aan deze vereisten?

Het opslaan van de token als een SecureString-parameter in AWS Systems Manager Parameter Store is de meest kosteneffectieve en veilige oplossing. Parameter Store biedt gratis opslag voor een groot aantal parameters en versleutelt de SecureString-parameters automatisch met AWS KMS. De Lambda-functie kan de token vervolgens veilig ophalen met de AWS SDK. AWS Secrets Manager is ook een geldige optie voor het opslaan van geheimen, maar is duurder dan Parameter Store voor dit specifieke gebruik. Een token-gebaseerde Lambda authorizer in API Gateway is bedoeld voor het autoriseren van API-aanroepen, niet voor het opslaan en leveren van tokens aan een downstream-service. Het doorgeven van de token via een omgevingsvariabele, zelfs versleuteld met KMS, is minder veilig omdat omgevingsvariabelen gemakkelijk kunnen worden gelezen en niet dynamisch kunnen worden geroteerd zoals geheimen in Parameter Store of Secrets Manager.