Apex Games хранит производственные секреты (пароли к базам данных и токены API) в AWS Secrets Manager выделенной учетной записи безопасности. В соответствии с политикой, рабочие нагрузки в других учетных записях AWS не могут принимать кросс-аккаунтные роли. Рабочие нагрузки должны считывать эти секреты напрямую во время выполнения. Какой способ является НАИБОЛЕЕ безопасным для реализации этого?

Прикрепление ресурсной политики непосредственно к каждому секрету позволяет гранулированно контролировать доступ к нему из других учетных записей, разрешая действие GetSecretValue только для явно указанных ролей IAM. Обновление политики ключа KMS или грантов необходимо, поскольку Secrets Manager использует KMS для шифрования секретов; без разрешения на дешифрование роли не смогут получить доступ к содержимому секрета. Это соответствует требованию не использовать кросс-аккаунтные роли. Кросс-аккаунтная репликация секретов не является наиболее безопасным вариантом, так как она создает дубликаты секретов в каждой учетной записи, увеличивая поверхность атаки и усложняя управление. Перемещение секретов в Parameter Store и использование RAM не рекомендуется, поскольку Parameter Store не предназначен для хранения высокочувствительных производственных секретов с такой же степенью безопасности, как Secrets Manager, а RAM используется для совместного использования ресурсов, а не для прямого доступа к секретам. Создание Interface VPC endpoints для Secrets Manager улучшает сетевую безопасность, но само по себе не предоставляет кросс-аккаунтный доступ к секретам без соответствующих политик IAM.