Amazon Aurora 데이터베이스에서 최신 변경 사항을 검색하는 Lambda 함수에 대한 보안 감사를 수행하고 있습니다. Lambda와 DB는 모두 동일한 VPC에 있습니다. 데이터베이스 자격 증명은 Lambda 환경 변수를 통해 제공됩니다. Lambda 함수는 데이터를 집계하여 SSE-KMS로 암호화된 S3 버킷에 씁니다. 데이터는 인터넷을 통해 전송되어서는 안 됩니다. 데이터베이스 자격 증명이 손상된 경우, 회사는 영향을 최소화하기를 원합니다. 무엇을 권장하시겠습니까?

이 솔루션은 데이터베이스 자격 증명 관리 및 데이터 전송 보안이라는 두 가지 주요 문제를 해결합니다. IAM 데이터베이스 인증을 사용하면 Lambda 환경 변수에 자격 증명을 저장할 필요가 없어 유출 위험이 줄어듭니다. Lambda의 IAM 역할에 권한을 부여하여 데이터베이스에 안전하게 액세스할 수 있습니다. S3용 게이트웨이 VPC 엔드포인트를 생성하면 Lambda 함수가 인터넷을 통하지 않고 VPC 내에서 S3 버킷에 안전하게 데이터를 쓸 수 있어 데이터 유출 위험을 방지하고 "데이터는 인터넷을 통해 전송되어서는 안 됩니다"라는 요구 사항을 충족합니다. 다른 옵션들은 다음과 같은 이유로 최적의 솔루션이 아닙니다. 두 번째 옵션은 IAM 데이터베이스 인증을 활성화하지만 S3 연결에 HTTPS를 강제하는 것은 인터넷을 통한 데이터 전송을 막지 못합니다. 세 번째 옵션은 Systems Manager Parameter Store를 사용하지만, 이는 자격 증명 관리를 개선할 뿐 IAM 데이터베이스 인증만큼 강력한 보안을 제공하지 않으며, 여전히 자격 증명 순환 및 관리가 필요합니다. 네 번째 옵션은 Secrets Manager를 사용하지만, 이 역시 IAM 데이터베이스 인증만큼 강력한 보안을 제공하지 않으며, S3 연결에 HTTPS를 강제하는 것은 인터넷을 통한 데이터 전송을 막지 못합니다.