Zespół przechowuje hasło do bazy danych aplikacji w AWS Secrets Manager. Tylko ograniczony i często zmieniający się zestaw podmiotów IAM powinien mieć dostęp do tego sekretu. Inżynier bezpieczeństwa potrzebuje rozwiązania, które maksymalizuje elastyczność i skalowalność. Które podejście spełnia te wymagania?

Podejście oparte na tagach jest najbardziej elastyczne i skalowalne. Używając kluczy warunkowych aws:PrincipalTag i aws:ResourceTag w polityce opartej na zasobach dołączonej do sekretu, można dynamicznie kontrolować dostęp. Wystarczy otagować sekret i podmioty IAM, a zmiany w uprawnieniach sprowadzają się do modyfikacji tagów, bez konieczności edycji polityk. Podejście oparte na rolach wymagałoby częstej edycji polityki zaufania roli, co jest mniej elastyczne. Interfejsowy punkt końcowy VPC kontroluje dostęp sieciowy, a nie autoryzację poszczególnych podmiotów IAM. Podejście domyślnego odrzucania jest niepraktyczne i nieefektywne, ponieważ wymagałoby ciągłego dodawania i usuwania podmiotów z grupy, co jest trudne do zarządzania i podatne na błędy.