Bir şirket, genel internet üzerinden trafik gönderip almaması gereken bir VPC'de bir Amazon RDS for MySQL DB instance'ı çalıştırmaktadır. Politika kısıtlamaları nedeniyle, şirket AWS Secrets Manager'ın sağladığı varsayılan AWS Lambda döndürme işlevini kullanamaz, bu nedenle sırrı döndürmek için VPC'ye özel bir Lambda işlevi dağıtılmıştır. DB instance'ın güvenlik grubu bu işlevden gelen bağlantılara izin vermektedir. Ancak, çağrıldığında, işlev döndürmeyi tamamlamak için Secrets Manager'a ulaşamıyor. Güvenlik mühendisi, işlevin sırrı döndürebilmesi için ne yapmalıdır?

Doğru cevap, bir AWS Secrets Manager interface VPC endpoint (AWS PrivateLink) oluşturmak ve Lambda işlevinin özel alt ağını endpoint yapılandırmasına dahil etmektir. Bu, Lambda işlevinin genel internete çıkmadan Secrets Manager API'lerine özel olarak erişmesini sağlar. Diğer seçenekler neden yanlış: VPC'ye yalnızca giden bir internet ağ geçidi eklemek, Lambda işlevinin genel internet üzerinden Secrets Manager'a erişmesine neden olur ki bu, politika kısıtlamalarına aykırıdır. Bir NAT gateway eklemek, Lambda işlevinin genel internet üzerinden Secrets Manager'a erişmesine neden olur ve bu da politika kısıtlamalarına aykırıdır. Secrets Manager için varsayılan VPC'ye bir VPC peering bağlantısı oluşturmak mümkün değildir çünkü Secrets Manager bir VPC'de çalışmaz ve peering bağlantıları yalnızca VPC'ler arasında kurulur.