Во время проверки тысяч функций AWS Lambda инженер по безопасности обнаруживает конфиденциальные данные в переменных среды, которые видны в виде обычного текста в консоли Lambda. Секреты представляют собой короткие значения. Какое средство устранения является наиболее экономически эффективным?

Наиболее экономически эффективным решением является хранение конфиденциальных данных в AWS Systems Manager Parameter Store в виде параметров secure string. Parameter Store бесплатен для стандартных параметров и предлагает безопасное хранение зашифрованных значений. Функции Lambda могут извлекать эти значения во время выполнения, а политики IAM гарантируют, что доступ имеют только авторизованные функции. Использование AWS Secrets Manager также является хорошим решением с точки зрения безопасности, но оно дороже, поскольку Secrets Manager тарифицируется за секрет и за доступ. AWS Step Functions не предназначены для хранения секретов и являются избыточным решением для этой задачи. Запрет просмотра переменных среды через политики IAM не решает проблему хранения секретов в открытом виде, а лишь скрывает их от некоторых пользователей.