Политика компании требует, чтобы все ключи API были зашифрованы и хранились в централизованной учетной записи безопасности, управляемой командой безопасности, отдельно от исходного кода. Аудит обнаружил ключ API, зафиксированный вместе с исходным кодом функции AWS Lambda в репозитории AWS CodeCommit в учетной записи DevOps. Как команда безопасности должна безопасно хранить ключ API?

Правильный ответ — использование AWS Secrets Manager. Он предназначен для безопасного хранения и управления секретами, такими как ключи API, учетные данные базы данных и токены. Secrets Manager позволяет централизованно хранить секреты в учетной записи безопасности, шифровать их с помощью AWS KMS и предоставлять детализированные разрешения IAM для доступа к ним. Функция Lambda может получить секрет во время выполнения, не храня его в исходном коде или переменных среды. Остальные варианты не соответствуют требованиям безопасности: Хранение исходного кода в репозитории CodeCommit учетной записи безопасности не решает проблему хранения ключа API отдельно от кода и не является лучшей практикой для управления секретами. Использование бакета S3 с предварительно подписанным URL-адресом менее безопасно, так как URL может быть перехвачен или срок его действия может истечь, а также это усложняет управление секретами. Хранение ключа API в зашифрованной переменной среды функции Lambda, хотя и лучше, чем хранение в открытом виде, все равно не соответствует требованию централизованного хранения в учетной записи безопасности и может быть менее гибким в управлении, чем Secrets Manager.