В ходе аудита безопасности было обнаружено, что команда разработчиков зафиксировала секретные ключи доступа пользователей IAM внутри кода приложения в репозитории AWS CodeCommit. Команда безопасности хочет получить автоматизированный механизм для обнаружения и устранения этих скомпрометированных учетных данных, чтобы они автоматически защищались. Какое решение обеспечит автоматическое обнаружение и устранение учетных данных?

Правильный ответ — настроить триггер CodeCommit для вызова функции AWS Lambda при каждой отправке кода. Пусть функция Lambda сканирует новые коммиты на наличие учетных данных; если учетные данные найдены, отключить учетные данные IAM и уведомить пользователя. Это решение обеспечивает автоматическое обнаружение и устранение учетных данных в реальном времени при каждом коммите, что является наиболее эффективным подходом. Lambda может напрямую взаимодействовать с IAM для отключения скомпрометированных ключей. Остальные варианты менее эффективны: Ночной скрипт через Systems Manager Run Command не обеспечивает обнаружение в реальном времени и может быть запущен только на экземплярах, а не в самом репозитории CodeCommit. Запланированная функция Lambda для сканирования репозитория не обеспечивает мгновенного реагирования и сохранение новых учетных данных в KMS не решает проблему обнаружения и отключения скомпрометированных. Amazon Macie не поддерживает сканирование репозиториев CodeCommit напрямую. Macie предназначен для обнаружения конфиденциальных данных в S3 и других хранилищах данных.