Amazon Linux üzerindeki bir proje güvenlik incelemesinden geçemedi. Bir CodeBuild buildspec.yaml dosyasını inceliyor ve güvenlik iyileştirmeleri önermeniz gerekiyor. Hangi değişiklikler AWS en iyi uygulamalarını takip eder? (Üç tane seçin.)

Doğru cevaplar, güvenlik en iyi uygulamalarını yansıtır. İlk olarak, CodeBuild projesinin IAM hizmet rolüne yalnızca gerekli izinleri vermek ve ortam değişkenlerindeki AWS kimlik bilgilerini kaldırmak, ayrıcalıkların en azı prensibini uygular ve hassas bilgilerin yanlışlıkla açığa çıkmasını önler. İkinci olarak, DBPASSWORD gibi hassas verileri AWS Systems Manager Parameter Store'da SecureString olarak saklamak ve ortam değişkenlerinden kaldırmak, bu tür bilgilerin güvenli bir şekilde yönetilmesini sağlar ve buildspec dosyasında görünür olmasını engeller. Üçüncü olarak, derleme içinde örneklerle etkileşim kurmak için scp ve ssh yerine AWS Systems Manager Run Command kullanmak, daha güvenli ve denetlenebilir bir yöntem sunar, çünkü Run Command IAM politikalarıyla entegre çalışır ve SSH anahtarlarının yönetim yükünü ortadan kaldırır. Diğer seçenekler güvenli değildir veya AWS en iyi uygulamalarıyla uyumlu değildir. Geçici dosyaları silmek iyi bir uygulama olsa da, diğer CodeBuild kullanıcılarının erişimini engellemek için yeterli değildir ve bu, konteyner izolasyonuyla daha iyi ele alınır. Ortam değişkenlerini S3'e taşımak veya XOR/Base64 ile gizlemek, hassas bilgileri güvende tutmak için yeterli bir mekanizma değildir ve kolayca tersine çevrilebilir.