Компания использует инстанс Amazon RDS for MySQL DB в VPC, который не должен отправлять или получать трафик через публичный интернет. Из-за ограничений политики компания не может использовать функцию ротации AWS Lambda по умолчанию, предоставляемую AWS Secrets Manager, поэтому в VPC была развернута пользовательская функция Lambda для ротации секрета. Группа безопасности инстанса БД разрешает подключения от этой функции. Однако при вызове функция не может связать Secrets Manager для завершения ротации. Что должен сделать инженер по безопасности, чтобы функция могла ротировать секрет?

Правильный ответ — создание конечной точки интерфейса VPC для AWS Secrets Manager (AWS PrivateLink) и включение частной подсети функции Lambda в конфигурацию конечной точки. Это позволяет функции Lambda безопасно и приватно взаимодействовать с Secrets Manager в пределах VPC, без использования публичного интернета. Secrets Manager — это управляемый сервис AWS, доступ к которому из частной подсети VPC требует либо конечной точки VPC, либо NAT Gateway для доступа через публичный интернет. Поскольку политика компании запрещает использование публичного интернета, конечная точка интерфейса VPC является единственным подходящим решением. Добавление egress-only internet gateway не поможет, так как он предназначен для IPv6-трафика и не обеспечивает доступ к сервисам AWS внутри VPC. Добавление NAT gateway позволит функции Lambda получить доступ к Secrets Manager через публичный интернет, что нарушает политику компании. Создание VPC peering connection к VPC по умолчанию для Secrets Manager не является решением, поскольку Secrets Manager не находится в пользовательской VPC, и пиринг с "VPC по умолчанию" для сервиса невозможен.