一個 Amazon API Gateway API 會呼叫某個 AWS Lambda 函數，而此函數必須呼叫 SaaS 平台。SaaS 平台會發出一個獨特的用戶端權杖來授權 Lambda 函數。安全工程師必須以最具成本效益的方式，將權杖靜態加密，並在執行時間將其提供給 Lambda 函數。哪種解決方案符合這些要求？

將權杖儲存為 AWS Systems Manager Parameter Store 中的 SecureString 參數是最具成本效益且安全的方法。SecureString 參數使用 AWS Key Management Service (KMS) 進行靜態加密，提供高安全性。Lambda 函數可以使用 AWS SDK 在執行時安全地擷取此參數，而無需將敏感資訊硬編碼到程式碼中。 將權杖儲存為 AWS Secrets Manager 中的密碼也是一個安全的選項，但 Secrets Manager 通常比 Parameter Store 更昂貴，因為它提供額外的功能，例如自動輪換，而此情境中並不需要這些功能。在 API Gateway 中設定以權杖為基礎的 Lambda 授權方是用於授權 API 請求，而不是用於儲存或提供 Lambda 函數呼叫外部服務所需的權杖。使用 AWS KMS 加密權杖並將其作為環境變數傳遞給函數，雖然可以實現加密，但環境變數在某些情況下可能不夠安全，且管理起來不如 Parameter Store 方便，特別是當需要輪換權杖時。