Bir şirket, Amazon EC2 örneklerini başlatmak için hassas değerler içeren EC2 kullanıcı verisi betikleri kullanmaktadır. Bir güvenlik mühendisi, bu hassas değerlerin erişmemesi gereken kullanıcılar tarafından görülebildiğini keşfetti. Örnek başlatma sırasında kullanılan hassas bilgileri korumanın en güvenli yolu nedir?

Hassas değerleri AWS Systems Manager Parameter Store'da SecureString parametreleri olarak saklamak ve EC2 örnek rolüne GetParameters izni vermek, bu tür bilgileri güvenli bir şekilde yönetmenin en iyi yoludur. SecureString, hassas verileri KMS anahtarlarıyla şifreleyerek korur. EC2 örnek rolü, yalnızca ihtiyaç duyduğu anda ve yetkilendirildiği şekilde bu parametrelere erişebilir. Bu yöntem, hassas verilerin koddan veya AMI'den ayrılmasını sağlayarak güvenlik duruşunu güçlendirir. Diğer seçenekler şunlardır: Betikleri AMI'ye gömmek, hassas verilerin AMI'nin bir parçası olmasına neden olur ve bu da AMI'ye erişimi olan herkes için bir risk oluşturur. Başlatma betiklerini Amazon S3'e taşımak ve KMS ile şifrelemek, verileri S3'te korur ancak betiklerin örnek tarafından nasıl güvenli bir şekilde alınacağı ve işleneceği sorununu çözmez. Ayrıca, betiklerin örnekten kaldırılması ve günlüklerin temizlenmesi manuel veya ek otomasyon gerektirir. EC2 örnek metadata hizmetine kullanıcı erişimini engellemek, hassas verilerin örnek metadata'sında saklanması durumunda bir koruma sağlar ancak kullanıcı verileri betiklerinde yer alan hassas değerlerin güvenliğini doğrudan ele almaz.