Está auditando la seguridad de una función Lambda que recupera los últimos cambios de una base de datos Amazon Aurora. Tanto Lambda como la base de datos están en la misma VPC. Las credenciales de la base de datos se proporcionan a través de variables de entorno de Lambda. La función Lambda agrega datos y los escribe en un bucket de S3 cifrado con SSE-KMS. Los datos no deben atravesar Internet. Si las credenciales de la base de datos se ven comprometidas, la empresa quiere minimizar el impacto. ¿Qué debería recomendar?

La autenticación de base de datos de IAM para Aurora permite usar credenciales de IAM en lugar de credenciales de base de datos tradicionales, lo que minimiza el impacto de un compromiso al no exponer contraseñas directamente y al permitir el uso de roles de IAM con permisos temporales. Un gateway VPC endpoint para Amazon S3 asegura que el tráfico a S3 permanezca dentro de la red de AWS y no atraviese Internet, cumpliendo el requisito de seguridad. Las opciones incorrectas: Forzar HTTPS para S3 es una buena práctica, pero no aborda la minimización del impacto de credenciales comprometidas ni el requisito de no usar Internet para S3. Usar Parameter Store o Secrets Manager con rotación es una mejora significativa para la gestión de credenciales, pero la autenticación de base de datos de IAM es la solución más robusta para minimizar el impacto de un compromiso de credenciales de base de datos, ya que elimina la necesidad de almacenar contraseñas. Además, la opción de Secrets Manager también falla al no incluir el VPC endpoint para S3.