Ein Unternehmen betreibt eine Amazon RDS for MySQL DB-Instance in einer VPC, die keinen Datenverkehr über das öffentliche Internet senden oder empfangen darf. Aufgrund von Richtlinienbeschränkungen kann das Unternehmen die standardmäßige AWS Lambda-Rotationsfunktion, die AWS Secrets Manager bereitstellt, nicht verwenden. Daher wurde eine benutzerdefinierte Lambda-Funktion in der VPC bereitgestellt, um das Secret zu rotieren. Die Sicherheitsgruppe der DB-Instance erlaubt Verbindungen von dieser Funktion. Wenn die Funktion jedoch aufgerufen wird, kann sie Secrets Manager nicht erreichen, um die Rotation abzuschließen. Was sollte der Sicherheitsingenieur tun, damit die Funktion das Secret rotieren kann?

Die Lambda-Funktion befindet sich in einer privaten VPC ohne öffentlichen Internetzugang. Um AWS Secrets Manager zu erreichen, der ein AWS-Dienst ist, der über das AWS-Netzwerk zugänglich ist, ist ein VPC-Endpunkt die korrekte und sicherste Lösung. Ein Interface VPC Endpoint (AWS PrivateLink) ermöglicht der Lambda-Funktion, privat und sicher über das AWS-Netzwerk auf Secrets Manager zuzugreifen, ohne das öffentliche Internet zu durchqueren. Ein Egress-Only-Internet-Gateway ist für IPv6-Subnetze gedacht und würde nur ausgehenden Internetzugriff ermöglichen, was hier nicht gewünscht oder notwendig ist. Ein NAT-Gateway würde ausgehenden Internetzugriff ermöglichen, was die Richtlinienbeschränkungen des Unternehmens verletzen würde, da die VPC keinen Datenverkehr über das öffentliche Internet senden oder empfangen darf. Eine VPC-Peering-Verbindung zur Standard-VPC für Secrets Manager ist nicht möglich, da Secrets Manager kein Dienst ist, der in einer Standard-VPC gehostet wird, sondern ein regionaler AWS-Dienst.