Una empresa ejecuta una instancia de base de datos de Amazon RDS for MySQL en una VPC que no debe enviar ni recibir tráfico a través de la internet pública. Debido a restricciones de políticas, la empresa no puede usar la función de rotación predeterminada de AWS Lambda que proporciona AWS Secrets Manager, por lo que se implementó una función Lambda personalizada en la VPC para rotar el secreto. El grupo de seguridad de la instancia de base de datos permite conexiones desde esta función. Sin embargo, cuando se invoca, la función no puede comunicarse con Secrets Manager para completar la rotación. ¿Qué debe hacer el ingeniero de seguridad para permitir que la función rote el secreto?

La opción correcta es crear un VPC endpoint de interfaz para AWS Secrets Manager. La función Lambda necesita comunicarse con Secrets Manager, que es un servicio público de AWS. Dado que la VPC no tiene acceso a internet y la función Lambda reside en una subred privada, un VPC endpoint de interfaz (AWS PrivateLink) permite que la función acceda a Secrets Manager de forma privada y segura dentro de la VPC, sin pasar por la internet pública. Las otras opciones son incorrectas: Un egress-only internet gateway solo permite tráfico saliente a internet desde IPv6 y no resolvería la comunicación con Secrets Manager desde una subred privada sin acceso a internet. Un NAT gateway permitiría el tráfico saliente a internet, lo cual va en contra de la restricción de la política de la empresa de no enviar ni recibir tráfico a través de la internet pública. La creación de una conexión de emparejamiento de VPC a la VPC predeterminada de Secrets Manager no es una opción válida, ya que Secrets Manager no reside en una VPC a la que se pueda emparejar directamente. Los servicios de AWS se acceden a través de endpoints.