Sie prüfen die Sicherheit einer Lambda-Funktion, die die neuesten Änderungen aus einer Amazon Aurora-Datenbank abruft. Sowohl Lambda als auch die Datenbank befinden sich in derselben VPC. Die Datenbankanmeldeinformationen werden über Lambda-Umgebungsvariablen bereitgestellt. Die Lambda-Funktion aggregiert Daten und schreibt sie in einen S3-Bucket, der mit SSE-KMS verschlüsselt ist. Daten dürfen das Internet nicht durchqueren. Wenn Datenbankanmeldeinformationen kompromittiert werden, möchte das Unternehmen die Auswirkungen minimieren. Was sollten Sie empfehlen?

Die IAM-Datenbankauthentifizierung für Aurora ist die sicherste Methode, da sie kurzlebige Anmeldeinformationen verwendet, die von IAM verwaltet werden, und somit das Risiko kompromittierter statischer Passwörter minimiert. Die Aktualisierung der Lambda-Rolle mit den entsprechenden Berechtigungen ermöglicht die Authentifizierung. Ein Gateway-VPC-Endpunkt für Amazon S3 ist erforderlich, um sicherzustellen, dass der Datenverkehr zu S3 innerhalb der AWS-Netzwerkgrenzen bleibt und das Internet nicht durchquert, was eine Anforderung der Aufgabe ist. Die Option mit HTTPS für S3 ist unzureichend, da sie die Internetdurchquerung nicht verhindert. Die Optionen mit Systems Manager Parameter Store oder Secrets Manager verbessern zwar die Verwaltung von Anmeldeinformationen, aber die IAM-Datenbankauthentifizierung ist für Aurora die nativ integrierte und sicherste Methode zur Authentifizierung. Außerdem würde die Option mit Secrets Manager ebenfalls das Internet für S3-Verbindungen nicht ausschließen.