Een Lambda-functie die volgens een schema wordt uitgevoerd, moet authenticeren bij een extern systeem met een API-sleutel. De API-sleutel moet versleuteld blijven wanneer deze in rust is (at rest). Welke benadering voldoet aan deze vereiste?

Het opslaan van de API-sleutel in omgevingsvariabelen van de Lambda-functie en deze te versleutelen met een door de klant beheerde AWS KMS-sleutel (CMK) is de veiligste en meest praktische benadering. AWS Lambda ondersteunt native versleuteling van omgevingsvariabelen met KMS, wat zorgt voor versleuteling in rust. De applicatie vragen om een wachtwoord bij de eerste uitvoering is onpraktisch voor een geautomatiseerde Lambda-functie die volgens een schema wordt uitgevoerd. Het hardcoden van de API-sleutel in de broncode is een ernstig beveiligingsrisico en schendt het principe van scheiding van zorgen. Lambda@Edge is bedoeld voor het uitvoeren van code op AWS-locaties dicht bij gebruikers en heeft geen directe betrekking op het veilig opslaan van API-sleutels voor een reguliere Lambda-functie.