您正在审计一个 Lambda 函数的安全性，该函数从 Amazon Aurora 数据库检索最新更改。Lambda 和数据库都在同一个 VPC 中。数据库凭证通过 Lambda 环境变量提供。Lambda 函数聚合数据并将其写入使用 SSE-KMS 加密的 S3 存储桶。数据不得通过 Internet 传输。如果数据库凭证泄露，公司希望将影响降到最低。您应该提出什么建议？

正确答案通过启用 Aurora IAM 数据库身份验证，将数据库凭证管理从 Lambda 环境变量转移到 IAM 角色，显著降低了凭证泄露的风险。IAM 角色具有临时凭证和精细权限控制，即使被盗用，影响也有限。同时，为 Amazon S3 创建网关 VPC 端点确保 Lambda 函数与 S3 存储桶之间的流量完全在 AWS 网络内部传输，避免了数据通过互联网暴露，满足了“数据不得通过 Internet 传输”的要求。 选项二和四未解决数据通过互联网传输的问题，HTTPS 仅加密传输，不保证不经过公共网络。选项三使用 Parameter Store 存储凭证，虽然比环境变量安全，但未利用 Aurora 数据库的 IAM 身份验证这一更安全、更原生的机制，且未解决数据不出互联网的问题。