Une entreprise exécute une base de données Amazon Aurora dans un VPC sans accès à Internet et avec les noms d'hôtes DNS privés activés. Un ingénieur de sécurité a configuré AWS Secrets Manager pour faire pivoter automatiquement les identifiants de la base de données en utilisant la fonction de rotation AWS Lambda par défaut dans le même VPC. La rotation échoue car la fonction Lambda ne peut pas atteindre le point de terminaison Secrets Manager. Quelle est la méthode la plus sécurisée pour permettre à la fonction Lambda de communiquer avec Secrets Manager ?

L'ajout d'un point de terminaison d'interface VPC (AWS PrivateLink) est la méthode la plus sécurisée. Il permet à la fonction Lambda de communiquer avec Secrets Manager de manière privée et directe au sein du réseau AWS, sans traverser Internet. Une passerelle NAT ou une passerelle Internet exposerait le trafic à Internet, ce qui est moins sécurisé et va à l'encontre du principe de fonctionnement dans un VPC sans accès Internet. Un point de terminaison de passerelle VPC n'est pas applicable pour Secrets Manager ; les points de terminaison de passerelle sont utilisés uniquement pour Amazon S3 et DynamoDB.