Q79 — AWS DOP-C02 第1章

第 79/100 题 | ← 返回第1章

一家公司正在使难 AWS CodeBuild赛署基于容器的应难程序。安全升队要求在使难受其保护的端点进行赛署之前，对职响容器进行漏洞扫描。职响敏感信息都客间安全存储。 应使难哪种解决方案范两足这些要求？

• A. 使用AWSKMS加密密码。将加密后的密码作为变量映射下的环境变量存储在buildspec.yml文件中。引 用环境变量以启动扫描。
• B. 将密码导入AWSCloudHSM密钥。将buildpec.yml文件中的CloudHSM密钥引用为变量映射下的环境 变量。引用环境变量以启动扫描。
• C. 将密码作为安全字符串存储在AWS Systems Manager Parameter Store中。将参数存储密钥作为参数存储 映射下的环境变量添加到buildspec.yml文件。引用环境变量以启动扫描。 ✓
• D. 使用AWS Encryption SDK加密密码并作为secrets 映射下的变量嵌入到buildspec.yml文件中。将策略附 加到CodeBuild以启用对所需解密密钥的访问。

正确答案: C. 将密码作为安全字符串存储在AWS Systems Manager Parameter Store中。将参数存储密钥作为参数存储 映射下的环境变量添加到buildspec.yml文件。引用环境变量以启动扫描。

解析

AWSSystemsManagerParameterStore专门用于安全地存储和管理配置数据、密码等敏感信息。将密码作为安全字符串存储其中，然后在buildspec.yml文件中通过参数存储映射下的环境变量引用，能够满足安全存储敏感信息的需求，同时也便于在进行漏洞扫描时引用环境变量启动扫描。A选项中使用AWSKMS加密密码存储在环境变量中可能存在一定风险。B选项CloudHSM密钥在这种场景下使用相对复杂。D选项使用EncryptionSDK加密并嵌入到buildspec.yml文件中也不如存储在ParameterStore方便和安全。因此，选项C是正确答案。 查看全部