Tijdens het beoordelen van een AWS CloudFormation-template ontdekt een beveiligingsingenieur een parameter met een standaardwaarde die een API-sleutel van een applicatie in platte tekst blootstelt. De waarde wordt meerdere keren in de template gerefereerd. De ingenieur moet de parameter vervangen, met behoud van de mogelijkheid om de waarde overal in de template te refereren. Wat is de meest veilige oplossing?

De meest veilige oplossing is om de API-sleutel op te slaan in AWS Secrets Manager en deze te refereren in de CloudFormation-template met {{resolve:secretsmanager:MySecretId:SecretString}}. Secrets Manager is specifiek ontworpen voor het veilig opslaan, beheren en roteren van geheimen zoals API-sleutels, database-credentials en andere gevoelige gegevens. De {{resolve:secretsmanager}} dynamische referentie stelt CloudFormation in staat om de geheime waarde op te halen tijdens de implementatie, zonder dat deze in platte tekst in de template verschijnt. Het opslaan van de API-sleutel als een SecureString-parameter in AWS Systems Manager Parameter Store is ook een verbetering ten opzichte van platte tekst, maar Secrets Manager biedt extra functionaliteit zoals automatische rotatie en meer gedetailleerde toegangscontrole, wat het een betere keuze maakt voor gevoelige geheimen zoals API-sleutels. Amazon DynamoDB en Amazon S3 zijn geen geschikte services voor het veilig opslaan van geheimen, omdat ze niet de ingebouwde beveiligings- en beheerfuncties bieden die specifiek zijn ontworpen voor geheimen.