Компания хранит транзакционные данные в Amazon RDS в частной подсети. Разработчик создал функцию AWS Lambda с настройками по умолчанию для выполнения операций вставки, обновления и удаления в экземпляре БД. Lambda должна подключаться к экземпляру БД в частном порядке, без использования общедоступного интернета. Какая комбинация шагов позволит достичь этого с НАИМЕНЬШИМИ операционными издержками? (Выберите два.)

Чтобы Lambda могла безопасно подключаться к RDS в частной подсети без использования публичного интернета, она должна находиться в той же VPC, что и RDS. Размещение Lambda в той же подсети, что и RDS, или в другой частной подсети той же VPC, позволяет им общаться приватно. Использование одной и той же группы безопасности для Lambda и RDS с правилом самоссылки (self-referencing rule) на порт базы данных позволяет им взаимодействовать. Это правило разрешает трафик от любого ресурса, связанного с этой группой безопасности, что включает в себя и Lambda, и RDS. Включение публичного доступа для RDS противоречит требованию приватного соединения. Обновление группы безопасности RDS для разрешения только вызовов Lambda недостаточно, если Lambda не находится в той же VPC или не имеет правильной сетевой конфигурации. Обновление сетевого ACL подсети не является наименее затратным решением, поскольку группы безопасности обеспечивают более гранулированный контроль на уровне экземпляров.