Zespół tworzy aplikację serverless i musi przechowywać zewnętrzny klucz API jako część konfiguracji AWS Lambda. Zespół wymaga pełnej kontroli nad kluczami AWS KMS, które będą szyfrować klucz API, i chce, aby materiał klucza był dostępny tylko dla autoryzowanych podmiotów. Która opcja spełnia te wymagania?

Poprawna odpowiedź to przechowywanie klucza API w zmiennych środowiskowych funkcji Lambda i szyfrowanie go za pomocą klucza AWS KMS zarządzanego przez klienta (CMK). Zmienne środowiskowe Lambda są odpowiednim miejscem na poufne dane konfiguracyjne, a użycie CMK umożliwia zespołowi pełną kontrolę nad polityką klucza, rotacją i audytem, spełniając wymagania dotyczące kontroli. Nieprawidłowe opcje: Przechowywanie klucza API w AWS Systems Manager Parameter Store jako parametr String z domyślnym kluczem KMS zarządzanym przez AWS nie daje zespołowi pełnej kontroli nad kluczem szyfrującym. Przechowywanie klucza API w repozytorium kodu źródłowego jest niebezpieczne i stanowi poważne zagrożenie bezpieczeństwa, ponieważ klucz byłby dostępny w kodzie. Przechowywanie klucza API w tabeli Amazon DynamoDB z kluczem KMS zarządzanym przez AWS również nie daje zespołowi pełnej kontroli nad kluczem szyfrującym.