Een proces haalt automatisch API-referenties op voor meerdere bankbronnen en roept een Lambda-functie aan die is gekoppeld aan een CloudFormation custom resource. De ontwikkelaar wil deze API-referenties opslaan met minimale operationele overhead en maximale beveiliging. Welke aanpak is het meest veilig en vereist de minste operationele inspanning?

De meest veilige en operationeel efficiënte aanpak is om vanuit de Lambda-functie de SSM PutParameter API aan te roepen om de referenties op te slaan als een SecureString parameter. Dit zorgt ervoor dat de referenties versleuteld worden opgeslagen met KMS en dat de Lambda-functie de referenties direct kan opslaan zonder dat ze in de CloudFormation-template verschijnen. De optie om een AWS Secrets Manager GenerateSecretString resource toe te voegen is minder geschikt omdat de referenties al worden opgehaald en niet gegenereerd hoeven te worden. Het toevoegen van een SSM Parameter Store resource aan de CloudFormation template met NoEcho is onveilig omdat de referenties dan in de template zouden moeten staan, wat een beveiligingsrisico vormt. De optie om de SSM PutParameter API aan te roepen en het NoEcho attribuut in te stellen is onvoldoende, aangezien NoEcho alleen voorkomt dat de waarde wordt weergegeven in de CloudFormation console, maar de parameter niet versleutelt.