ある会社が、インターネットにアクセスできないVPCでプライベートDNSホスト名を有効にして、Amazon Auroraデータベースを実行しています。セキュリティエンジニアは、同じVPC内のデフォルトのAWS Lambdaローテーション関数を使用して、データベース認証情報を自動的にローテーションするようにAWS Secrets Managerを設定しました。Lambda関数がSecrets Managerエンドポイントに到達できないため、ローテーションが失敗します。Lambda関数がSecrets Managerと通信できるようにする最も安全な方法は何ですか？

インターネットにアクセスできないVPC内で、Lambda関数がSecrets Managerと安全に通信するためには、インターフェースVPCエンドポイント (AWS PrivateLink) を使用するのが最も安全な方法です。これにより、トラフィックはAWSのプライベートネットワーク内にとどまり、インターネットを経由することなくSecrets Managerにアクセスできます。 NATゲートウェイやインターネットゲートウェイは、VPCにインターネットアクセスを許可するため、セキュリティリスクを高めます。ゲートウェイVPCエンドポイントはS3やDynamoDBにのみ対応しており、Secrets Managerには対応していません。したがって、インターフェースVPCエンドポイントが最適な解決策となります。