Apex Games przechowuje sekrety produkcyjne (hasła do baz danych i tokeny API) w AWS Secrets Manager na dedykowanym koncie bezpieczeństwa. Zgodnie z polityką, obciążenia w innych kontach AWS nie mogą przyjmować ról międzykontowych (cross-account roles). Obciążenia muszą odczytywać te sekrety bezpośrednio w czasie działania. Jaki jest NAJBEZPIECZNIEJSZY sposób, aby to umożliwić?

Poprawna odpowiedź to dołączenie polityki opartej na zasobach do każdego sekretu, zezwalającej na GetSecretValue dla określonych ról IAM na kontach konsumentów, oraz aktualizacja polityki klucza KMS lub uprawnień, aby te role mogły deszyfrować CMK sekretu. Jest to najbezpieczniejsze podejście, ponieważ polityki oparte na zasobach (resource-based policies) w Secrets Manager pozwalają na precyzyjne kontrolowanie dostępu z innych kont bez konieczności przyjmowania ról międzykontowych, co jest zgodne z wymogami polityki. Dodatkowo, uprawnienia do klucza KMS są niezbędne do deszyfrowania sekretów. Replikacja sekretów między kontami (cross-account secret replication) nie jest idealna, ponieważ tworzy wiele kopii sekretów, zwiększając powierzchnię ataku i złożoność zarządzania. Przeniesienie sekretów do Systems Manager Parameter Store i udostępnianie ich przez AWS Resource Access Manager (RAM) jest mniej bezpieczne, ponieważ Parameter Store nie oferuje tak granularnej kontroli dostępu jak Secrets Manager, a RAM służy do udostępniania zasobów, a nie do bezpiecznego dostępu do sekretów w czasie rzeczywistym. Tworzenie punktów końcowych VPC interfejsu (Interface VPC endpoints) dla Secrets Manager poprawia łączność, ale nie zapewnia kontroli dostępu między kontami bez dodatkowych polityk.