Şirket politikası, tüm API anahtarlarının şifrelenmesini ve kaynak koddan ayrı olarak, güvenlik ekibi tarafından yönetilen merkezi bir güvenlik hesabında saklanmasını zorunlu kılmaktadır. Bir denetimde, DevOps hesabındaki bir AWS CodeCommit deposunda bir AWS Lambda fonksiyonunun kaynak koduyla birlikte bir API anahtarının commit edildiği tespit edildi. Güvenlik ekibi API anahtarını güvenli bir şekilde nasıl saklamalıdır?

Doğru cevap, API anahtarlarını güvenli bir şekilde merkezi bir konumda saklamak için en iyi uygulamayı temsil eder. AWS Secrets Manager, API anahtarları, veritabanı kimlik bilgileri ve diğer hassas veriler gibi sırları güvenli bir şekilde depolamak, yönetmek ve almak için tasarlanmış bir hizmettir. AWS KMS ile şifrelenmiş olması, ek bir güvenlik katmanı sağlar. Lambda fonksiyonunun IAM rolüne yalnızca çalışma zamanında sırrı alması için izin vermek, en az ayrıcalık ilkesini takip eder ve anahtarın kaynak kodda veya ortam değişkenlerinde açıkça bulunmasını önler. Diğer seçenekler şunlar için uygun değildir: CodeCommit deposu oluşturmak, anahtarı yine de kaynak kodla birlikte depolama riski taşır ve bu, şirket politikasını ihlal eder. S3'te depolamak ve ön imzalı bir URL kullanmak, anahtarın URL aracılığıyla sızdırılması riskini taşır ve Secrets Manager kadar güvenli veya yönetilebilir değildir. Lambda ortam değişkeninde saklamak, anahtarın kaynak kodda olmasa bile fonksiyon yapılandırmasında görünmesine neden olur ve potansiyel olarak yetkisiz erişime veya sızıntıya yol açabilir. Secrets Manager, bu tür sırlar için daha güvenli ve yönetilebilir bir çözümdür.