Una empresa ejecuta una base de datos de Amazon Aurora en una VPC sin acceso a internet y con nombres de host DNS privados habilitados. Un ingeniero de seguridad configuró AWS Secrets Manager para rotar automáticamente las credenciales de la base de datos utilizando la función de rotación predeterminada de AWS Lambda en la misma VPC. La rotación falla porque la función Lambda no puede alcanzar el endpoint de Secrets Manager. ¿Cuál es la forma más segura de permitir que la función Lambda se comunique con Secrets Manager?

La opción correcta es añadir un interface VPC endpoint (AWS PrivateLink) para el servicio Secrets Manager. Esta es la forma más segura porque permite que la función Lambda acceda a Secrets Manager de forma privada y segura dentro de la VPC, sin exponer el tráfico a Internet. Los endpoints de interfaz utilizan AWS PrivateLink para establecer conexiones privadas. Las opciones incorrectas son: Añadir un NAT Gateway o un Internet Gateway: Ambas opciones permitirían el acceso a Internet, lo cual va en contra del requisito de seguridad de mantener la VPC sin acceso a Internet y expone el tráfico a la red pública. Añadir un gateway VPC endpoint: Los gateway VPC endpoints son solo para Amazon S3 y DynamoDB, no para Secrets Manager.