Un'azienda esegue un'istanza DB Amazon RDS for MySQL in una VPC che non deve inviare o ricevere traffico tramite la rete Internet pubblica. A causa di restrizioni di policy, l'azienda non può utilizzare la funzione di rotazione predefinita di AWS Lambda fornita da AWS Secrets Manager, quindi è stata distribuita una funzione Lambda personalizzata nella VPC per ruotare il segreto. Il gruppo di sicurezza dell'istanza DB consente le connessioni da questa funzione. Tuttavia, quando richiamata, la funzione non riesce a raggiungere Secrets Manager per completare la rotazione. Cosa dovrebbe fare l'ingegnere della sicurezza per consentire alla funzione di ruotare il segreto?

La risposta corretta è creare un endpoint VPC di interfaccia di AWS Secrets Manager (AWS PrivateLink) e includere la sottorete privata della funzione Lambda nella configurazione dell'endpoint. Questo perché la funzione Lambda si trova in una VPC privata senza accesso a Internet e deve comunicare con Secrets Manager, che è un servizio AWS pubblico. Un endpoint VPC di interfaccia consente alla funzione Lambda di accedere a Secrets Manager in modo privato, senza passare per Internet. Aggiungere un egress-only internet gateway non funzionerebbe perché è per il traffico IPv6 in uscita e Secrets Manager è un servizio AWS, non una destinazione esterna che richiede solo traffico in uscita. Aggiungere un NAT gateway alla VPC e configurare la sottorete della funzione Lambda con una route predefinita verso il NAT gateway fornirebbe accesso a Internet, ma la policy aziendale impedisce l'uso del traffico Internet pubblico. Creare una connessione di VPC peering alla VPC predefinita per Secrets Manager non è fattibile, poiché Secrets Manager non risiede in una VPC predefinita a cui si può fare peering.