Het bedrijfsbeleid schrijft voor dat alle API-sleutels versleuteld en opgeslagen moeten worden in een gecentraliseerd beveiligingsaccount dat beheerd wordt door het beveiligingsteam, gescheiden van de broncode. Een audit heeft uitgewezen dat een API-sleutel is vastgelegd met de broncode van een AWS Lambda-functie in een AWS CodeCommit-repository in het DevOps-account. Hoe moet het beveiligingsteam de API-sleutel veilig opslaan?

De juiste oplossing is om de API-sleutel op te slaan in AWS Secrets Manager in het beveiligingsaccount, versleuteld met AWS KMS. Secrets Manager is speciaal ontworpen voor het veilig opslaan en beheren van gevoelige gegevens zoals API-sleutels, databasereferenties en andere geheimen. Door de IAM-rol van de Lambda-functie de juiste machtigingen te geven, kan de functie de sleutel ophalen wanneer deze nodig is, zonder dat de sleutel in de broncode of omgevingsvariabelen wordt opgeslagen. De andere opties zijn minder veilig of minder praktisch: Een CodeCommit-repository is bedoeld voor broncode, niet voor het opslaan van geheimen. Het verplaatsen van de Lambda-broncode naar een beveiligingsaccount is ook niet efficiënt. Het opslaan van de sleutel in S3 en het genereren van een presigned URL is complexer en introduceert extra kwetsbaarheden, aangezien de URL tijdelijk toegang geeft. Het opslaan van de sleutel als een versleutelde omgevingsvariabele voor de Lambda-functie is beter dan in de broncode, maar Secrets Manager biedt een robuustere oplossing voor het beheer van geheimen, inclusief rotatie en auditmogelijkheden.