한 회사에서 퍼블릭 인터넷을 통해 트래픽을 주고받아서는 안 되는 VPC에서 Amazon RDS for MySQL DB 인스턴스를 실행합니다. 정책 제한으로 인해 회사는 AWS Secrets Manager가 제공하는 기본 AWS Lambda 로테이션 함수를 사용할 수 없으므로, 시크릿을 로테이션하기 위해 사용자 지정 Lambda 함수를 VPC에 배포했습니다. DB 인스턴스의 보안 그룹은 이 함수로부터의 연결을 허용합니다. 그러나 함수가 호출될 때, 로테이션을 완료하기 위해 Secrets Manager에 연결할 수 없습니다. 보안 엔지니어는 함수가 시크릿을 로테이션할 수 있도록 무엇을 해야 할까요?

Secrets Manager 인터페이스 VPC 엔드포인트(AWS PrivateLink)를 생성하면 Lambda 함수가 퍼블릭 인터넷을 통하지 않고도 VPC 내에서 Secrets Manager에 안전하게 액세스할 수 있습니다. Lambda 함수는 프라이빗 서브넷에 배포되므로, 이 엔드포인트를 통해 Secrets Manager API 호출을 프라이빗하게 라우팅할 수 있습니다. 이그레스 전용 인터넷 게이트웨이는 IPv6 트래픽에만 해당하며, NAT 게이트웨이는 퍼블릭 IP 주소를 통해 인터넷으로 아웃바운드 연결을 허용하므로 정책 제한에 위배될 수 있습니다. Secrets Manager는 기본적으로 VPC에 상주하지 않으므로 Secrets Manager용 기본 VPC에 VPC 피어링 연결을 생성하는 것은 불가능합니다.