Referenties die worden gebruikt om verbinding te maken met een externe SaaS-provider, worden momenteel in platte tekst opgeslagen in een configuratiebestand. De ontwikkelaar moet deze API-referenties beveiligen en elke drie maanden automatische rotatie afdwingen. Welke oplossing biedt de meest veilige aanpak?

De meest veilige aanpak is om de referenties op te slaan in AWS Secrets Manager. Secrets Manager is specifiek ontworpen voor het veilig opslaan en beheren van geheimen, zoals API-referenties, databasewachtwoorden en OAuth-tokens. Het ondersteunt automatische rotatie, wat essentieel is voor de vereiste driemaandelijkse rotatie, en integreert met AWS KMS voor encryptie. De applicatie kan vervolgens via een API-aanroep de geheimen ophalen, zonder deze zelf op te slaan. Optie A (KMS-encryptie van configuratiebestand) beveiligt het bestand, maar biedt geen automatische rotatie van de referenties zelf en vereist nog steeds dat de applicatie de sleutel beheert. Optie B (tijdelijke referenties van STS) is niet van toepassing, aangezien STS wordt gebruikt voor AWS-referenties, niet voor externe SaaS-providers. Optie D (Systems Manager Parameter Store) kan geheimen opslaan en encryptie gebruiken, maar biedt geen ingebouwde automatische rotatiefunctionaliteit zoals Secrets Manager, wat cruciaal is voor deze vereiste.