Courseiva
← Questions CLF-C02
Voir la question originale en anglais
MoyenneChoix unique

Question d'entraînement CLF-C02

Une entreprise exécute une application basée sur des microservices sur Amazon ECS. L'application stocke les informations d'identification de base de données et les clés d'API dans des fichiers de configuration en texte clair intégrés dans les images de conteneur. Un audit de sécurité révèle que cette pratique enfreint la politique de conformité de l'entreprise, qui exige que les secrets soient stockés séparément du code, gérés de manière centralisée et pivotés automatiquement tous les 90 jours. Quel service AWS l'entreprise doit-elle utiliser pour répondre à ces exigences ?

Choisissez la meilleure réponse.

Bonne réponse

  • CAWS Secrets Manager

Explication

AWS Secrets Manager est le bon choix car il est spécialement conçu pour stocker, gérer et pivoter automatiquement les informations d'identification de base de données, les clés d'API et d'autres secrets tout au long de leur cycle de vie. Il répond aux exigences de conformité en stockant les secrets séparément du code, en fournissant une console de gestion centrale et une API, et en prenant en charge la rotation automatique tous les 90 jours via une intégration native avec AWS RDS, Redshift et DocumentDB, ou des fonctions Lambda personnalisées.

Pourquoi chaque option est juste ou fausse

A

Fausse

AWS Key Management Service (AWS KMS)

AWS KMS est destiné à la création et au contrôle des clés de chiffrement, et non au stockage de secrets tels que des mots de passe et des clés d'API. Il ne propose pas de rotation automatique des secrets.

B

Fausse

AWS CloudHSM

CloudHSM fournit des modules de sécurité matériels dédiés pour les opérations de clés, et non un magasin de secrets géré avec une rotation automatique des informations d'identification de base de données tous les 90 jours. CloudHSM convient aux exigences réglementaires imposant la garde des clés par un locataire unique, répondant ainsi au contrôle des clés plutôt qu'au cycle de vie des secrets exigé par la politique.

C

Juste

AWS Secrets Manager

AWS Secrets Manager est spécialement conçu pour stocker, gérer et pivoter automatiquement les secrets tels que les informations d'identification de base de données et les clés d'API. Il s'intègre à Lambda pour effectuer la rotation selon un calendrier et à RDS pour les mises à jour automatiques des informations d'identification, répondant ainsi aux exigences de conformité.

D

Fausse

AWS Systems Manager Parameter Store

AWS Systems Manager Parameter Store ne répond pas à l'exigence de rotation automatique des secrets tous les 90 jours, car il ne fournit pas nativement cette fonctionnalité pour les informations d'identification de base de données ou les clés d'API. Bien qu'il sépare efficacement les secrets du code et offre une gestion centralisée, ce qui en fait un choix approprié pour stocker des paramètres de configuration statiques ou des secrets ne nécessitant pas de gestion du cycle de vie, il lui manque les mécanismes de rotation automatisés intégrés indispensables pour cette politique de conformité.

Pour aller plus loin

AWS Secrets Manager stocke les secrets chiffrés à l'aide de clés KMS et les expose via l'API GetSecretValue. Sa rotation native utilise une fonction Lambda invoquée selon un calendrier que vous définissez. Ainsi, une exigence de rotation de 90 jours est satisfaite en configurant RotationRules avec AutomaticallyAfterDays=90. Contrairement à Systems Manager Parameter Store, qui peut contenir des valeurs SecureString mais ne dispose d'aucun moteur de rotation intégré, Secrets Manager gère le cycle de vie de la rotation et les étiquettes de version (AWSCURRENT, AWSPENDING) de manière atomique. Un comportement subtil : les fonctions Lambda de rotation doivent pouvoir joindre à la fois le secret et la base de données cible, et les rotations échouées laissent la version précédente sous l'état AWSCURRENT pour éviter les pannes. Dans un déploiement de microservices sur ECS, les tâches récupèrent les secrets à l'exécution via le SDK ou l'injection de secrets dans les définitions de tâches, ce qui évite de stocker les informations d'identification dans les images et permet une rotation centralisée et auditable.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.