Вы проводите аудит безопасности функции Lambda, которая извлекает последние изменения из базы данных Amazon Aurora. И Lambda, и база данных находятся в одной VPC. Учетные данные базы данных предоставляются через переменные среды Lambda. Функция Lambda агрегирует данные и записывает их в бакет S3, зашифрованный с помощью SSE-KMS. Данные не должны проходить через Интернет. Если учетные данные базы данных скомпрометированы, компания хочет минимизировать последствия. Что вы порекомендуете?

Правильный ответ предлагает наиболее безопасное и эффективное решение. Включение аутентификации базы данных IAM для Aurora устраняет необходимость хранения учетных данных в переменных среды Lambda, значительно снижая риск компрометации. Обновление роли IAM функции Lambda для использования этой аутентификации обеспечивает безопасный доступ. Создание шлюзовой конечной точки VPC для Amazon S3 гарантирует, что трафик к S3 остается в пределах VPC, не проходя через Интернет, что соответствует требованию безопасности и улучшает производительность. Второй вариант неверен, потому что принудительное использование HTTPS для S3 не предотвращает прохождение трафика через Интернет, если нет шлюзовой конечной точки VPC. Третий и четвертый варианты, хотя и улучшают управление учетными данными по сравнению с переменными среды, все же требуют хранения учетных данных (даже если они ротируются) и не предлагают такой же уровень безопасности, как аутентификация IAM для Aurora. Кроме того, они также не обеспечивают частный доступ к S3.