Bir süreç, birden çok bankacılık kaynağı için API kimlik bilgilerini otomatik olarak alır ve bir CloudFormation özel kaynağına bağlı bir Lambda işlevini çağırır. Geliştirici, bu API kimlik bilgilerini minimum operasyonel yük ve maksimum güvenlikle depolamak istiyor. Hangi yaklaşım en güvenlidir ve en az operasyonel çaba gerektirir?

Doğru cevap, kimlik bilgilerini bir SecureString parametresi olarak depolamak için Lambda'dan (özel kaynak) SSM PutParameter API'sini çağırmaktır. AWS Systems Manager Parameter Store'daki SecureString türü, hassas verileri KMS anahtarları kullanarak şifreler ve yönetimi kolaylaştırır. Bu, hem yüksek güvenlik hem de düşük operasyonel yük sağlar. Diğer seçenekler: CloudFormation şablonuna AWS Secrets Manager GenerateSecretString kaynağı eklemek, otomatik döndürme gibi özellikler sunsa da, mevcut senaryoda Lambda'nın dinamik olarak aldığı kimlik bilgilerini doğrudan depolamak için en uygun yöntem değildir. CloudFormation şablonuna bir SSM Parameter Store kaynağı eklemek ve NoEcho kullanmak, kimlik bilgilerini şablonda açıkça belirtmeyi gerektirir ki bu, hassas veriler için önerilen bir uygulama değildir. Lambda'dan SSM PutParameter API'sini çağırmak ve parametrenin NoEcho özniteliğini true olarak ayarlamak, parametre değerini gizler ancak SecureString kadar güçlü bir şifreleme sağlamaz. NoEcho yalnızca konsol çıktısını etkiler, depolanan verinin şifrelenmesini değil.