Vous auditez la sécurité d'une fonction Lambda qui récupère les dernières modifications d'une base de données Amazon Aurora. La fonction Lambda et la base de données se trouvent dans le même VPC. Les identifiants de la base de données sont fournis via des variables d'environnement Lambda. La fonction Lambda agrège les données et les écrit dans un compartiment S3 chiffré avec SSE-KMS. Les données ne doivent pas transiter par Internet. Si les identifiants de la base de données sont compromis, l'entreprise souhaite minimiser l'impact. Que devriez-vous recommander ?

L'authentification de base de données IAM pour Aurora permet à la fonction Lambda d'utiliser ses informations d'identification de rôle IAM pour s'authentifier auprès de la base de données, éliminant ainsi le besoin de stocker des identifiants statiques dans des variables d'environnement et réduisant l'impact d'une compromission. Un point de terminaison de VPC de passerelle pour Amazon S3 garantit que le trafic vers S3 reste dans le VPC, répondant à l'exigence de ne pas transiter par Internet. Les options incorrectes suggèrent des solutions moins optimales. Stocker les identifiants dans Parameter Store ou Secrets Manager est une amélioration par rapport aux variables d'environnement, mais l'authentification de base de données IAM est la méthode la plus sécurisée pour Aurora. L'application de HTTPS pour S3 est une bonne pratique mais ne garantit pas que le trafic reste dans le VPC comme le fait un point de terminaison de passerelle.