Bir ekip sunucusuz bir uygulama geliştiriyor ve harici bir API anahtarını bir AWS Lambda yapılandırmasının parçası olarak depolaması gerekiyor. Ekip, API anahtarını şifreleyecek AWS KMS anahtarları üzerinde tam kontrol sahibi olmak istiyor ve anahtar materyalinin yalnızca yetkili sorumlular tarafından erişilebilir olmasını talep ediyor. Hangi seçenek bu gereksinimleri karşılar?

Doğru seçenek, API anahtarını Lambda ortam değişkenlerinde saklamak ve şifrelemek için müşteri tarafından yönetilen bir KMS anahtarı kullanmaktır. Lambda ortam değişkenleri, hassas verileri depolamak için uygun bir yerdir ve AWS, bu değişkenleri varsayılan olarak şifreler. Ancak, ekip KMS anahtarları üzerinde tam kontrol istediği için, AWS tarafından yönetilen varsayılan anahtar yerine kendi müşteri tarafından yönetilen KMS anahtarlarını kullanmaları gerekir. Bu, anahtar materyalinin yalnızca yetkili sorumlular tarafından erişilebilir olmasını sağlar. Diğer seçenekler neden yanlış: AWS Systems Manager Parameter Store'da bir String parametresi olarak kaydetmek ve varsayılan AWS tarafından yönetilen KMS anahtarına güvenmek, ekibin KMS anahtarları üzerinde tam kontrol isteğini karşılamaz. API anahtarını uygulamanın kaynak kodu deposunda tutmak, güvenlik için kötü bir uygulamadır ve hassas bilgilerin kaynak kodunda saklanmasından kaçınılmalıdır. API anahtarını bir Amazon DynamoDB tablosunda bir öğe olarak saklamak teknik olarak mümkün olsa da, Lambda ortam değişkenleri bu tür veriler için daha doğrudan ve uygun bir depolama mekanizması sunar. Ayrıca, DynamoDB tablosu için AWS tarafından yönetilen KMS anahtarı kullanılması, ekibin kontrol gereksinimini karşılamaz.