Firma uruchamia bazę danych Amazon Aurora w VPC bez dostępu do internetu i z włączonymi prywatnymi nazwami hostów DNS. Inżynier bezpieczeństwa skonfigurował AWS Secrets Manager do automatycznego rotowania poświadczeń bazy danych, używając domyślnej funkcji rotacji AWS Lambda w tym samym VPC. Rotacja kończy się niepowodzeniem, ponieważ funkcja Lambda nie może dotrzeć do punktu końcowego Secrets Manager. Jaki jest najbezpieczniejszy sposób, aby umożliwić funkcji Lambda komunikację z Secrets Manager?

Poprawna odpowiedź to dodanie interfejsowego punktu końcowego VPC (AWS PrivateLink) w VPC dla usługi Secrets Manager. Interfejsowy punkt końcowy VPC umożliwia funkcji Lambda bezpieczny i prywatny dostęp do usługi Secrets Manager w ramach VPC, bez konieczności przechodzenia przez internet. Jest to najbardziej bezpieczne rozwiązanie, ponieważ ruch pozostaje w sieci AWS. Dodanie bramy NAT lub bramy internetowej nie jest optymalne, ponieważ wymagałoby routingu ruchu przez internet, co zwiększa powierzchnię ataku i jest mniej bezpieczne. Bramowy punkt końcowy VPC (gateway endpoint) obsługuje tylko S3 i DynamoDB, więc nie zadziała dla Secrets Manager.