Ein Unternehmen betreibt eine Amazon Aurora-Datenbank in einer VPC ohne Internetzugang und mit aktivierten privaten DNS-Hostnamen. Ein Sicherheitsingenieur hat AWS Secrets Manager so konfiguriert, dass die Datenbankanmeldeinformationen automatisch mithilfe der standardmäßigen AWS Lambda-Rotationsfunktion in derselben VPC rotiert werden. Die Rotation schlägt fehl, da die Lambda-Funktion den Secrets Manager-Endpunkt nicht erreichen kann. Was ist der sicherste Weg, damit die Lambda-Funktion mit Secrets Manager kommunizieren kann?

Die sicherste Methode ist das Hinzufügen eines Interface-VPC-Endpunkts (AWS PrivateLink) für Secrets Manager. Dieser Endpunkt ermöglicht der Lambda-Funktion, über private IP-Adressen innerhalb der VPC sicher und direkt mit dem Secrets Manager-Dienst zu kommunizieren, ohne den Datenverkehr über das öffentliche Internet zu leiten. Ein NAT-Gateway würde den ausgehenden Datenverkehr ins Internet leiten, was für den Zugriff auf AWS-Dienste nicht die sicherste oder effizienteste Methode ist, wenn private Endpunkte verfügbar sind. Ein Gateway-VPC-Endpunkt ist nur für S3 und DynamoDB verfügbar, nicht für Secrets Manager. Ein Internet-Gateway würde der VPC Internetzugang ermöglichen, was die Sicherheit der VPC beeinträchtigen würde, da die Datenbank keinen Internetzugang haben soll.