Przeprowadzasz audyt bezpieczeństwa funkcji Lambda, która pobiera najnowsze zmiany z bazy danych Amazon Aurora. Zarówno Lambda, jak i baza danych znajdują się w tej samej VPC. Poświadczenia bazy danych są dostarczane za pośrednictwem zmiennych środowiskowych Lambda. Funkcja Lambda agreguje dane i zapisuje je do zasobnika S3 zaszyfrowanego za pomocą SSE-KMS. Dane nie mogą przechodzić przez Internet. Jeśli poświadczenia bazy danych zostaną naruszone, firma chce zminimalizować wpływ. Co powinieneś polecić?

Poprawna odpowiedź minimalizuje wpływ naruszenia poświadczeń bazy danych, eliminując je całkowicie ze zmiennych środowiskowych Lambda i zastępując uwierzytelnianiem IAM. Uwierzytelnianie IAM dla Aurora wykorzystuje tymczasowe poświadczenia, co jest bezpieczniejsze niż statyczne hasła. Dodatkowo, utworzenie bramowego punktu końcowego VPC dla S3 zapewnia, że ruch do S3 pozostaje w sieci AWS, nie przechodzi przez Internet, spełniając wymaganie zadania. Pozostałe opcje są mniej optymalne: Opcja z HTTPS dla S3 nie rozwiązuje problemu ruchu przez Internet, a jedynie szyfruje go. Opcje z Parameter Store lub Secrets Manager są lepsze niż zmienne środowiskowe, ale nadal opierają się na statycznych lub rotowanych hasłach, które są mniej bezpieczne niż uwierzytelnianie IAM dla baz danych.