Приложение, работающее на Amazon EC2, должно отправлять сообщение в чат команде поддержки компании при обнаружении недействительной транзакции. Для вызова API чата ему требуется токен доступа, который должен быть зашифрован как в состоянии покоя, так и при передаче, и должен быть доступен из других аккаунтов AWS. Какой подход удовлетворяет этим требованиям при минимизации накладных расходов на управление?

Правильный ответ — использование AWS Secrets Manager. Secrets Manager специально разработан для безопасного хранения, управления и ротации конфиденциальных данных, таких как токены доступа. Он обеспечивает шифрование как в состоянии покоя, так и при передаче, поддерживает политики на основе ресурсов для кросс-аккаунтного доступа и легко интегрируется с AWS KMS для использования customer-managed key, что дает дополнительный контроль. Ротация секретов также автоматизирована, что минимизирует накладные расходы на управление. Другие варианты менее оптимальны: AWS Systems Manager Parameter Store (SecureString) подходит для хранения параметров, но Secrets Manager предлагает более продвинутые функции для секретов, такие как автоматическая ротация и более детализированный контроль доступа, что делает его предпочтительным для токенов доступа. Amazon DynamoDB не является специализированным сервисом для хранения секретов и требует дополнительной логики для шифрования и управления ключами, увеличивая сложность. Amazon S3 также не является специализированным сервисом для секретов. Хотя он может хранить зашифрованные данные, управление доступом и ротацией секретов будет более сложным и менее автоматизированным по сравнению с Secrets Manager.