Een ontwikkelaar maakt een CloudFormation custom resource, ondersteund door een Lambda-functie, om een Amazon OpenSearch Service-domein te configureren. De Lambda moet de interne master user-referenties van OpenSearch gebruiken om toegang te krijgen tot het domein. Wat is de meest veilige manier om deze referenties aan de Lambda-functie te verstrekken?

De meest veilige methode is het gebruik van AWS Secrets Manager. Secrets Manager is speciaal ontworpen voor het veilig opslaan, beheren en roteren van geheimen zoals databasecredentials. Door de referenties daar op te slaan en de Lambda-functie een IAM-rol te geven met secretsmanager:GetSecretValue, kan de Lambda de referenties dynamisch ophalen tijdens runtime zonder dat ze direct in de code, omgevingsvariabelen of CloudFormation-parameters worden blootgesteld. CloudFormation dynamic references maken het mogelijk om de secret-waarde te gebruiken voor de OpenSearch-configuratie. De andere opties zijn minder veilig: CloudFormation-parameters met NoEcho=true verbergen de waarde in de console, maar de waarde wordt nog steeds als platte tekst opgeslagen in de CloudFormation-stack en kan worden gelezen door gebruikers met de juiste rechten. AWS Systems Manager Parameter Store is een verbetering, maar Secrets Manager biedt specifieke functionaliteit voor geheimen, zoals automatische rotatie en fijnmazigere toegangscontrole. Het versleutelen van de parameterwaarde met KMS is beter dan platte tekst, maar vereist nog steeds handmatige decryptie en mist de volledige levenscyclusbeheerfuncties van Secrets Manager.