Разработчик создает настраиваемый ресурс CloudFormation, поддерживаемый функцией Lambda, для настройки домена Amazon OpenSearch Service. Lambda должна использовать учетные данные внутреннего главного пользователя OpenSearch для доступа к домену. Какой наиболее безопасный способ предоставить эти учетные данные функции Lambda?

Использование AWS Secrets Manager — наиболее безопасный способ хранения и управления конфиденциальными учетными данными. CloudFormation может создать секрет Secrets Manager, а динамическая ссылка CloudFormation позволяет безопасно передать его в MasterUserOptions домена OpenSearch без раскрытия в шаблоне. Функция Lambda получает доступ к секрету во время выполнения, используя роль IAM с минимальными необходимыми разрешениями (secretsmanager:GetSecretValue), что предотвращает жесткое кодирование учетных данных или их хранение в переменных среды. Остальные варианты менее безопасны: Передача учетных данных напрямую через параметры CloudFormation (даже с NoEcho) или переменные среды Lambda менее безопасна, так как они могут быть доступны через консоль или логи. Использование Systems Manager Parameter Store для секретов возможно, но Secrets Manager специально разработан для управления секретами с дополнительными функциями, такими как автоматическая ротация. Шифрование KMS не решает проблему хранения секрета в переменных среды или параметрах CloudFormation, где он все еще может быть расшифрован.