Uma empresa executa um banco de dados Amazon Aurora em uma VPC sem acesso à internet e com nomes de host DNS privados habilitados. Um engenheiro de segurança configurou o AWS Secrets Manager para rotacionar automaticamente as credenciais do banco de dados usando a função de rotação padrão do AWS Lambda na mesma VPC. A rotação falha porque a função Lambda não consegue alcançar o endpoint do Secrets Manager. Qual é a maneira mais segura de permitir que a função Lambda se comunique com o Secrets Manager?

A maneira mais segura de permitir que a função Lambda se comunique com o Secrets Manager em uma VPC sem acesso à internet é usando um interface VPC endpoint (AWS PrivateLink). Isso estabelece uma conexão privada e segura entre a VPC e o Secrets Manager, mantendo o tráfego dentro da rede AWS e sem expor a função Lambda à internet. Adicionar um NAT gateway ou um internet gateway permitiria a comunicação, mas introduziria acesso à internet, o que é menos seguro e contrário ao requisito de "sem acesso à internet" para a VPC. Um gateway VPC endpoint é para serviços como S3 e DynamoDB, não para o Secrets Manager.