Bir şirket, yönetişim için AWS Organizations ve Control Tower kullanır ve çoklu hesap VPC bağlantısı için bir Transit Gateway kullanır. Uygulama ekibi, bir uygulama hesabında bir web uygulaması (Lambda + RDS) dağıttı. Ayrı bir DBA hesabındaki DBA'lar, veritabanlarını merkezi olarak yönetir ve uygulama hesabındaki bir RDS örneğine erişmek için DBA hesabındaki bir EC2 örneğini kullanır. Uygulama ekibi, veritabanı kimlik bilgilerini uygulama hesabındaki AWS Secrets Manager'da saklar ve şu anda sırları DBA'larla manuel olarak paylaşır. Sırlar, uygulama hesabındaki varsayılan AWS tarafından yönetilen Secrets Manager anahtarıyla şifrelenir. DBA'lara manuel sır paylaşımı olmadan veritabanına erişim sağlayan bir çözüm tasarlayın.

Doğru seçenek, AWS'de hesaplar arası erişim için standart ve güvenli bir yöntem olan IAM rol üstlenmeyi kullanır. Uygulama hesabında sırrı okuma izinlerine sahip bir IAM rolü (DBA-Secret) oluşturmak, sırrın bulunduğu hesapta erişimi tanımlar. DBA hesabındaki bir IAM rolünün (DBA-Admin) bu rolü üstlenmesine izin vermek, DBA'ların uygulama hesabındaki sırra geçici kimlik bilgileriyle erişmesini sağlar. Bu, sırrı doğrudan paylaşmaktan daha güvenlidir ve erişimi merkezi olarak yönetir. Yanlış seçenekler: RAM, Secrets Manager sırlarını doğrudan paylaşmak için tasarlanmamıştır; daha çok kaynak paylaşımı (örneğin, alt ağlar, Transit Gateway ekleri) içindir. KMS anahtarına doğrudan hesaplar arası erişim vermek, sırrı okumak için yeterli değildir; Secrets Manager'a da erişim gereklidir ve rol üstlenme daha iyi bir uygulamadır. SCP'ler izinleri kısıtlamak için kullanılır, izin vermek için değil ve doğrudan hesaplar arası erişim sağlamazlar.