Un'azienda sta testando il proprio piano di risposta agli incidenti per credenziali compromesse. Un database è in esecuzione su un'istanza Amazon EC2 e le credenziali sensibili del database sono archiviate come segreto in AWS Secrets Manager con la rotazione abilitata tramite una funzione AWS Lambda basata sul modello di rotazione generico. L'istanza EC2 e la funzione Lambda si trovano nella stessa sottorete privata. La VPC ha un VPC endpoint di Secrets Manager. La rotazione non riesce e CloudWatch Logs mostra: "setSecret: Unable to log into database." Il VPC endpoint funziona come previsto. Quale soluzione risolve l'errore?

La rotazione dei segreti di Secrets Manager richiede che la funzione Lambda di rotazione possa connettersi al database per aggiornare le credenziali. L'errore "Unable to log into database" indica un problema di connettività o autenticazione. Poiché la funzione Lambda e l'istanza EC2 si trovano nella stessa sottorete privata, i gruppi di sicurezza devono consentire il traffico tra di essi. Aggiornare il gruppo di sicurezza della Lambda per consentire l'uscita verso l'istanza EC2 e il gruppo di sicurezza dell'istanza EC2 per consentire l'entrata dalla Lambda risolve il problema di connettività. Modificare la struttura JSON del segreto non risolve un problema di connettività. Utilizzare i comandi CLI per forzare la rotazione non risolve la causa sottostante del fallimento. Aggiungere un internet gateway e un NAT gateway non è necessario, poiché la comunicazione è tra risorse all'interno della stessa VPC e il VPC endpoint di Secrets Manager funziona correttamente.