Een project op Amazon Linux heeft een beveiligingsbeoordeling niet doorstaan. Je beoordeelt een CodeBuild buildspec.yaml en moet beveiligingsverbeteringen aanbevelen. Welke wijzigingen volgen de best practices van AWS? (Kies drie.)

Het verlenen van minimale benodigde machtigingen aan de IAM-servicerol van CodeBuild en het verwijderen van AWS-referenties uit omgevingsvariabelen volgt het principe van minimale privileges en voorkomt blootstelling van gevoelige gegevens. Het opslaan van DBPASSWORD als een SecureString in AWS Systems Manager Parameter Store en het verwijderen ervan uit omgevingsvariabelen is een best practice voor het veilig beheren van geheimen, omdat Parameter Store versleuteling en toegangscontrole biedt. Het gebruik van AWS Systems Manager Run Command in plaats van scp en ssh voor interactie met instances verbetert de beveiliging door het elimineren van de noodzaak voor openbare SSH-sleutels en het bieden van gecentraliseerde logging en auditing. De optie om tijdelijke bestanden te verwijderen is niet direct gerelateerd aan de beveiliging van de buildspec.yaml zelf, maar eerder aan opruimen. Het verplaatsen van omgevingsvariabelen naar een S3-bucket is minder veilig dan Parameter Store, omdat S3-objecten mogelijk minder strikte toegangscontroles hebben en de variabele nog steeds als platte tekst kan worden opgeslagen. Het verbergen van omgevingsvariabelen met XOR en Base64-codering is geen veilige methode; dit is obfuscatie, geen versleuteling, en kan gemakkelijk ongedaan worden gemaakt.