Stai verificando la sicurezza di una funzione Lambda che recupera le modifiche più recenti da un database Amazon Aurora. Sia Lambda che il DB si trovano nella stessa VPC. Le credenziali del database sono fornite tramite variabili d'ambiente Lambda. La funzione Lambda aggrega i dati e li scrive in un bucket S3 crittografato con SSE-KMS. I dati non devono attraversare Internet. Se le credenziali del database vengono compromesse, l'azienda vuole minimizzare l'impatto. Cosa dovresti raccomandare?

La risposta corretta risolve tutti i requisiti. L'autenticazione del database IAM elimina la necessità di archiviare credenziali statiche, riducendo il rischio in caso di compromissione delle variabili d'ambiente. Il ruolo IAM della Lambda può essere configurato per accedere solo al database specifico, minimizzando l'impatto di una compromissione. Un VPC endpoint gateway per S3 assicura che il traffico verso S3 rimanga all'interno della VPC, non attraversando Internet, e non comportando costi di trasferimento dati tra AZ. Le opzioni errate non soddisfano tutti i requisiti. La seconda opzione non garantisce che i dati non attraversino Internet per S3. La terza e la quarta opzione, pur migliorando la gestione delle credenziali, non eliminano completamente la necessità di credenziali statiche (anche se dinamiche) e non implementano l'autenticazione IAM nativa per Aurora, che offre un controllo degli accessi più granulare e integrato con IAM. Inoltre, non garantiscono il traffico privato verso S3.