Un desarrollador colocó una base de datos RDS en la subred privada de VPC-A. El desarrollador también creó una función Lambda en la VPC predeterminada que intenta conectarse a la base de datos RDS, pero no puede. ¿Cuál es la forma adecuada de permitir que la función Lambda acceda a la instancia de RDS?

La opción correcta es implementar la función Lambda en la misma subred que la instancia de RDS y configurar el grupo de seguridad de RDS. Las funciones Lambda que necesitan acceder a recursos en una VPC deben configurarse para ejecutarse dentro de esa VPC. Al colocar la función Lambda en la misma subred privada (o una subred accesible) que la base de datos RDS, se establece la conectividad de red. Además, el grupo de seguridad de RDS debe permitir el tráfico entrante desde el grupo de seguridad asociado a la función Lambda para que la conexión sea exitosa. Las otras opciones son incorrectas porque: Modificar el grupo de seguridad de RDS para permitir el tráfico de todos los puertos desde el bloque CIDR de la VPC es demasiado permisivo y una mala práctica de seguridad. Crear un grupo de seguridad para la función Lambda y agregar una regla al grupo de seguridad de RDS es un paso necesario, pero no aborda el problema fundamental de que la función Lambda no está en la VPC correcta para acceder a la base de datos privada. Crear un rol de IAM con una política que permita el acceso a la base de datos RDS es para la autenticación y autorización a nivel de base de datos, no para la conectividad de red subyacente.