Een ontwikkelaar heeft een RDS-database in het privé-subnet van VPC-A geplaatst. De ontwikkelaar heeft ook een Lambda-functie gemaakt in de standaard VPC die probeert verbinding te maken met de RDS-database, maar dit lukt niet. Wat is de juiste manier om de Lambda-functie toegang te geven tot de RDS-instantie?

De Lambda-functie moet in hetzelfde VPC als de RDS-database worden geïmplementeerd om er rechtstreeks mee te kunnen communiceren. Door de Lambda-functie in een subnet binnen VPC-A te plaatsen, kan deze de privé-IP-adressen van de RDS-instantie bereiken. De beveiligingsgroep van de RDS-instantie moet vervolgens worden geconfigureerd om inkomend verkeer toe te staan vanaf de beveiligingsgroep die aan de Lambda-functie is gekoppeld, of het CIDR-bereik van het subnet waarin de Lambda-functie zich bevindt. De andere opties zijn onjuist: Het wijzigen van de RDS-beveiligingsgroep om verkeer van alle poorten vanuit het VPC CIDR-blok toe te staan, is te breed en voldoet niet aan het principe van minimale privileges. Het maken van een beveiligingsgroep voor de Lambda-functie en het toevoegen van een regel aan de RDS-beveiligingsgroep om verkeer van die Lambda-beveiligingsgroep toe te staan, is een deel van de oplossing, maar de Lambda moet ook in hetzelfde VPC worden geïmplementeerd. Het maken van een IAM-rol met een beleid dat toegang tot de RDS-database toestaat, regelt de authenticatie, niet de netwerkconnectiviteit.