Você está auditando a segurança de uma função Lambda que recupera as últimas alterações de um banco de dados Amazon Aurora. Tanto o Lambda quanto o DB estão na mesma VPC. As credenciais do banco de dados são fornecidas por meio de variáveis de ambiente do Lambda. A função Lambda agrega dados e os grava em um bucket S3 criptografado com SSE-KMS. Os dados não devem trafegar pela Internet. Se as credenciais do banco de dados forem comprometidas, a empresa deseja minimizar o impacto. O que você deve recomendar?

A autenticação de banco de dados IAM para Aurora permite que a função Lambda se autentique no banco de dados usando credenciais IAM de curta duração, eliminando a necessidade de armazenar credenciais estáticas nas variáveis de ambiente, o que minimiza o impacto de um comprometimento. O endpoint de gateway VPC para S3 garante que o tráfego para o S3 permaneça dentro da rede AWS e não passe pela Internet, atendendo ao requisito de segurança. As outras opções são incorretas porque: Impor HTTPS para S3 é uma boa prática, mas não impede que o tráfego saia da rede AWS se não houver um endpoint VPC. Usar o Parameter Store ou Secrets Manager para credenciais é uma melhoria em relação às variáveis de ambiente, mas a autenticação de banco de dados IAM é a solução mais segura para o Aurora, pois elimina completamente o armazenamento de credenciais no Lambda.