Interfejs API Amazon API Gateway wywołuje funkcję AWS Lambda, która musi wywołać platformę SaaS. Platforma SaaS wydaje unikalny token klienta w celu autoryzacji funkcji Lambda. Inżynier bezpieczeństwa musi zaszyfrować token w spoczynku i dostarczyć go do funkcji Lambda w czasie wykonywania w najbardziej ekonomiczny sposób. Które rozwiązanie spełnia te wymagania?

Przechowywanie tokena jako parametru SecureString w AWS Systems Manager Parameter Store jest najbardziej ekonomicznym i bezpiecznym rozwiązaniem. Parameter Store umożliwia przechowywanie poufnych danych, takich jak tokeny, w zaszyfrowanej formie (przy użyciu AWS KMS) bez dodatkowych kosztów za samą usługę przechowywania parametrów (płacisz tylko za użycie KMS). Funkcja Lambda może łatwo pobrać ten token za pomocą AWS SDK w czasie wykonywania. Przechowywanie tokena w AWS Secrets Manager jest również bezpieczne, ale Secrets Manager jest droższy, ponieważ jest przeznaczony do zarządzania cyklem życia sekretów, ich rotacji i bardziej zaawansowanych funkcji, które nie są wymagane w tym scenariuszu. Konfigurowanie autoryzatora Lambda opartego na tokenach w API Gateway służy do autoryzacji żądań do API Gateway, a nie do przechowywania tokenów dla funkcji Lambda. Użycie AWS KMS do zaszyfrowania tokena i przekazanie go w zmiennej środowiskowej jest mniej bezpieczne, ponieważ zmienne środowiskowe mogą być łatwo dostępne i nie są zaszyfrowane w spoczynku w taki sam sposób jak SecureString.