Bir geliştirici, bir Amazon OpenSearch Service domain'ini yapılandırmak için bir Lambda işlevi tarafından desteklenen bir CloudFormation özel kaynağı oluşturuyor. Lambda'nın domain'e erişmek için OpenSearch dahili ana kullanıcı kimlik bilgilerini kullanması gerekiyor. Bu kimlik bilgilerini Lambda işlevine sağlamanın en güvenli yolu nedir?

Doğru cevap, hassas kimlik bilgilerini güvenli bir şekilde yönetmek için AWS Secrets Manager'ı kullanır. CloudFormation ile bir Secrets Manager sırrı oluşturmak, kimlik bilgilerini güvenli bir şekilde depolamanın en iyi yoludur. OpenSearch domain'i, CloudFormation dinamik referansları aracılığıyla bu sırra başvurabilir. Lambda işlevine secretsmanager:GetSecretValue izni veren bir IAM rolü atamak, işlevin çalışma zamanında sırrı güvenli bir şekilde almasını sağlar. Sır adını Lambda ortam değişkeninde saklamak, kimlik bilgilerini doğrudan ortam değişkenlerinde depolamaktan çok daha güvenlidir. Diğer seçenekler ya kimlik bilgilerini doğrudan ortam değişkenlerinde depolayarak güvenlik riskleri taşır (bu hassas veriler için önerilmez), ya da Systems Manager Parameter Store'u kullanırken bile, Secrets Manager'ın sunduğu gelişmiş sır yönetimi özelliklerinden (dönüşüm, versiyonlama gibi) yoksundur. KMS ile şifreleme tek başına, çalışma zamanında şifre çözme ve güvenli depolama mekanizmalarını tam olarak ele almaz.