Uno sviluppatore ha posizionato un database RDS nella sottorete privata di VPC-A. Lo sviluppatore ha anche creato una funzione Lambda nel VPC predefinito che tenta di connettersi al database RDS ma non ci riesce. Qual è il modo appropriato per consentire alla funzione Lambda di accedere all'istanza RDS?

Per consentire a una funzione Lambda di accedere a un database RDS in una sottorete privata, la funzione Lambda deve essere distribuita all'interno dello stesso VPC e preferibilmente nella stessa sottorete del database RDS. Questo perché le funzioni Lambda eseguite all'interno di un VPC ottengono un'interfaccia di rete elastica (ENI) che consente loro di comunicare con altre risorse all'interno dello stesso VPC, come RDS, senza attraversare internet. Successivamente, il gruppo di sicurezza di RDS deve essere configurato per consentire il traffico in entrata dalla funzione Lambda, specificando il gruppo di sicurezza della Lambda o il suo blocco CIDR. Le altre opzioni sono errate perché: Modificare il gruppo di sicurezza di RDS per consentire il traffico da tutte le porte dal blocco CIDR del VPC è troppo permissivo e non risolve il problema di connettività della Lambda. Creare un gruppo di sicurezza per la funzione Lambda e aggiungere una regola al gruppo di sicurezza di RDS per consentire il traffico da quel gruppo di sicurezza Lambda è un passaggio necessario, ma non risolve il problema fondamentale della Lambda che non è nello stesso VPC o sottorete. Creare un ruolo IAM con una policy che consenta l'accesso al database RDS e allegare tale ruolo alla funzione Lambda è per l'autorizzazione, non per la connettività di rete.