Een team slaat het databasewachtwoord van een applicatie op in AWS Secrets Manager. Slechts een beperkte en frequent wisselende set van IAM principals zou toegang moeten hebben tot het secret. Een security engineer heeft een oplossing nodig die maximale flexibiliteit en schaalbaarheid biedt. Welke aanpak voldoet aan deze vereisten?

De tag-gebaseerde aanpak biedt de meeste flexibiliteit en schaalbaarheid. Door tags te gebruiken op zowel het secret als de IAM principals, en deze te controleren met aws:PrincipalTag en aws:ResourceTag in een resource-based policy, kan toegang dynamisch worden beheerd zonder de policy zelf te wijzigen. Dit is ideaal voor een frequent wisselende set van principals. Een rolgebaseerde aanpak vereist het bijwerken van de trust policy van de rol, wat minder schaalbaar is bij veel wijzigingen. Een interface VPC endpoint is voor netwerktoegang en regelt geen IAM-autorisatie op dit niveau. De deny-by-default aanpak is complex en onpraktisch voor het verlenen van toegang, aangezien principals uit de groep moeten worden verwijderd om toegang te krijgen, wat indruist tegen het principe van least privilege.