Een team bouwt een serverless app en moet een externe API-sleutel opslaan als onderdeel van een AWS Lambda-configuratie. Het team heeft volledige controle nodig over de AWS KMS-sleutels die de API-sleutel zullen versleutelen en wil dat het sleutelmateriaal alleen toegankelijk is voor geautoriseerde principals. Welke optie voldoet aan deze vereisten?

De juiste optie is om de API-sleutel op te slaan in de omgevingsvariabelen van de Lambda-functie en deze te versleutelen met een door de klant beheerde AWS KMS-sleutel (CMK). Dit voldoet aan de vereiste voor volledige controle over de KMS-sleutels, aangezien een CMK door het team kan worden beheerd en geconfigureerd. Lambda versleutelt omgevingsvariabelen automatisch met KMS. De andere opties zijn minder geschikt: Systems Manager Parameter Store met een standaard AWS-beheerde KMS-sleutel biedt niet de volledige controle over de sleutel die het team wenst. Het opslaan van de API-sleutel in de broncode-repository is een beveiligingsrisico, zelfs als de repository versleuteld is, omdat de sleutel dan deel uitmaakt van de codebasis. Een Amazon DynamoDB-tabel gebruiken voor een enkele API-sleutel is overdreven en een AWS-beheerde KMS-sleutel biedt niet de gewenste controle.