Aplikacja społecznościowa używa AWS SDK for JavaScript w przeglądarce do uzyskiwania poświadczeń użytkownika z AWS STS. Zasoby aplikacji są przechowywane w zasobniku S3 i dostarczane za pośrednictwem dystrybucji CloudFront, której źródłem jest zasobnik S3. Obecnie poświadczenia roli, którą przyjmuje aplikacja, są przechowywane w postaci zwykłego tekstu w pliku JSON w kodzie frontendu. Deweloper musi usunąć zakodowane na stałe poświadczenia, jednocześnie umożliwiając aplikacji ich uzyskiwanie. Które podejście spełnia ten wymóg?

Poprawne podejście usuwa zakodowane na stałe poświadczenia, przenosząc logikę ich uzyskiwania do funkcji Lambda@Edge. Lambda@Edge może wywoływać AWS STS w imieniu aplikacji, a jej rola wykonawcza może mieć uprawnienia do tego. Dzięki temu poświadczenia nie są przechowywane w kodzie frontendu, zwiększając bezpieczeństwo. Niepoprawne opcje: CloudFront Functions są lekkie i nie mogą wykonywać wywołań sieciowych, takich jak wywoływanie AWS STS. Przeniesienie poświadczeń z pliku JSON do funkcji Lambda@Edge lub CloudFront Function nadal oznacza przechowywanie ich w kodzie, co nie rozwiązuje problemu zakodowanych na stałe poświadczeń. Celem jest dynamiczne uzyskiwanie poświadczeń, a nie ich przenoszenie.