Команда разрабатывает бессерверное приложение и должна хранить внешний ключ API как часть конфигурации AWS Lambda. Команде требуется полный контроль над ключами AWS KMS, которые будут шифровать ключ API, и она хочет, чтобы материал ключа был доступен только авторизованным субъектам. Какой вариант удовлетворяет этим требованиям?

Правильный ответ: Хранить ключ API в переменных окружения функции Lambda и использовать управляемый клиентом ключ AWS KMS, который контролирует команда, для его шифрования. Объяснение: Хранение ключа API в переменных окружения функции Lambda и его шифрование с помощью управляемого клиентом ключа AWS KMS (Customer Managed Key, CMK) позволяет команде полностью контролировать ключ шифрования, включая его создание, ротацию и политики доступа. Это соответствует требованию полного контроля над ключами KMS и обеспечению доступности материала ключа только авторизованным субъектам. AWS Lambda автоматически расшифровывает переменные окружения при выполнении функции. Неправильные варианты: Использование управляемого AWS KMS ключа по умолчанию не дает команде полного контроля над ключом шифрования. Хранение ключа API в репозитории исходного кода является плохой практикой безопасности, так как секреты не должны быть частью кода. Хранение ключа API в таблице Amazon DynamoDB является возможным вариантом, но переменные окружения Lambda с CMK KMS обеспечивают более прямолинейный и безопасный способ для данного сценария, особенно учитывая требование полного контроля над ключом шифрования.