Un'azienda esegue un database Amazon Aurora in una VPC senza accesso a Internet e con hostname DNS privati abilitati. Un ingegnere della sicurezza ha configurato AWS Secrets Manager per ruotare automaticamente le credenziali del database utilizzando la funzione di rotazione AWS Lambda predefinita nella stessa VPC. La rotazione fallisce perché la funzione Lambda non riesce a raggiungere l'endpoint di Secrets Manager. Qual è il modo più sicuro per consentire alla funzione Lambda di comunicare con Secrets Manager?

La risposta corretta è aggiungere un interface VPC endpoint (AWS PrivateLink) nella VPC per il servizio Secrets Manager. Questo permette alla funzione Lambda di comunicare privatamente con Secrets Manager all'interno della VPC, senza esporre il traffico a Internet. Le altre opzioni sono errate per i seguenti motivi: Aggiungere un NAT gateway o un internet gateway esporrebbe il traffico a Internet, il che non è l'approccio più sicuro e potrebbe non essere consentito per un database senza accesso a Internet. Un gateway VPC endpoint non è disponibile per Secrets Manager; è utilizzato principalmente per Amazon S3 e DynamoDB.