Een applicatie die draait op Amazon EC2 moet een chatbericht sturen naar het supportteam van het bedrijf wanneer deze een ongeldige transactie detecteert. Om de chat-API aan te roepen, heeft deze een toegangstoken nodig dat versleuteld moet zijn in rust en tijdens transport, en toegankelijk moet zijn vanuit andere AWS-accounts. Welke aanpak voldoet aan deze vereisten en minimaliseert tegelijkert managementoverhead?

AWS Secrets Manager is de meest geschikte service voor het opslaan en beheren van gevoelige gegevens zoals API-toegangstokens. Het versleutelt de geheimen automatisch in rust en tijdens transport, en ondersteunt resource-based policies voor toegang vanuit andere AWS-accounts, wat voldoet aan alle vereisten. Het minimaliseert de overhead omdat Secrets Manager de rotatie van geheimen kan automatiseren. De optie met Systems Manager Parameter Store SecureString is goed, maar Secrets Manager is specifiek ontworpen voor geheimen en biedt meer geavanceerde functies zoals automatische rotatie. Het versleutelen met een AWS KMS AWS-managed key en opslaan in DynamoDB of S3 vereist meer handmatige configuratie en beheer van de encryptie en decryptie op de EC2-instantie, wat de managementoverhead verhoogt. Bovendien is S3 niet primair ontworpen voor het opslaan van kleine, gevoelige geheimen die vaak moeten worden opgehaald.