在 Amazon EC2 上執行的應用程式，當偵測到無效交易時，必須向公司的支援團隊發送聊天訊息。為了呼叫聊天 API，它需要一個存取權杖，該權杖必須在靜態和傳輸中加密，並且必須可從其他 AWS 帳戶存取。哪種方法可以在滿足這些要求的同時，將管理開銷降到最低？

正確答案是使用 AWS Secrets Manager。Secrets Manager 專為安全儲存和管理敏感資訊（如存取權杖）而設計，支援靜態和傳輸中加密，並可與 AWS KMS customer-managed key (CMK) 整合以提供額外控制。透過資源型政策，可以輕鬆地授予其他 AWS 帳戶存取權限，同時將管理開銷降至最低。EC2 實例的 IAM 角色只需要 Secrets Manager 的讀取權限即可檢索和解密權杖。 其他選項的缺點： Systems Manager Parameter Store SecureString 雖然提供加密，但其跨帳戶共享能力不如 Secrets Manager 的資源型政策靈活，且通常用於非敏感配置，而非高度敏感的憑證。 將加密權杖儲存在 DynamoDB 或 S3 中需要手動處理加密和解密邏輯，增加了應用程式的複雜性和管理負擔，且不具備 Secrets Manager 內建的憑證輪換和細粒度存取控制等功能。