Une entreprise exécute une instance de base de données Amazon RDS for MySQL dans un VPC qui ne doit pas envoyer ou recevoir de trafic via l'internet public. En raison de restrictions de politique, l'entreprise ne peut pas utiliser la fonction de rotation AWS Lambda par défaut fournie par AWS Secrets Manager. Une fonction Lambda personnalisée a donc été déployée dans le VPC pour faire pivoter le secret. Le groupe de sécurité de l'instance de base de données autorise les connexions depuis cette fonction. Cependant, lorsqu'elle est invoquée, la fonction ne peut pas atteindre Secrets Manager pour terminer la rotation. Que doit faire l'ingénieur de sécurité pour permettre à la fonction de faire pivoter le secret ?

La fonction Lambda est déployée dans un VPC privé et doit accéder à Secrets Manager sans passer par l'internet public. La création d'un point de terminaison d'interface VPC (AWS PrivateLink) pour Secrets Manager permet à la fonction Lambda d'accéder au service de manière privée et sécurisée via le réseau AWS, sans nécessiter de passerelle Internet ou NAT. Le point de terminaison doit être configuré dans le sous-réseau où réside la fonction Lambda. L'ajout d'une passerelle Internet à sens unique (egress-only internet gateway) est pour IPv6 et ne résoudrait pas le problème d'accès privé pour IPv4. L'ajout d'une passerelle NAT permettrait un accès sortant à l'internet public, ce qui est contraire aux restrictions de politique. La création d'une connexion de peering VPC vers le VPC par défaut de Secrets Manager n'est pas une option viable car Secrets Manager est un service géré et n'a pas de VPC par défaut auquel on peut se connecter directement via le peering.