Deweloper tworzy zasób niestandardowy CloudFormation wspierany przez funkcję Lambda w celu skonfigurowania domeny Amazon OpenSearch Service. Lambda musi używać wewnętrznych poświadczeń użytkownika głównego OpenSearch, aby uzyskać dostęp do domeny. Jaki jest najbezpieczniejszy sposób dostarczenia tych poświadczeń do funkcji Lambda?

Najbezpieczniejszym sposobem zarządzania poufnymi danymi, takimi jak poświadczenia, jest użycie AWS Secrets Manager. Tworzenie sekretu za pomocą CloudFormation i odwoływanie się do niego dynamicznie zapewnia, że poufne dane nigdy nie są bezpośrednio widoczne w szablonie CloudFormation ani w dziennikach. Nadanie funkcji Lambda uprawnienia secretsmanager:GetSecretValue i pobieranie sekretu w czasie wykonywania jest zgodne z zasadą najmniejszych uprawnień. Pozostałe opcje są mniej bezpieczne: Przekazywanie poświadczeń jako parametr CloudFormation do zmiennej środowiskowej Lambda, nawet z NoEcho=true, może ujawnić je w konfiguracji funkcji lub dziennikach. Użycie Systems Manager Parameter Store jest lepsze niż zmienne środowiskowe, ale Secrets Manager oferuje dodatkowe funkcje bezpieczeństwa, takie jak automatyczna rotacja. Szyfrowanie zmiennej środowiskowej za pomocą KMS nadal pozostawia zaszyfrowaną wartość w konfiguracji funkcji, co jest mniej bezpieczne niż przechowywanie jej poza funkcją i pobieranie w razie potrzeby.