Bir şirket, internet erişimi olmayan ve özel DNS ana bilgisayar adları etkinleştirilmiş bir VPC'de bir Amazon Aurora veritabanı çalıştırıyor. Bir güvenlik mühendisi, aynı VPC'deki varsayılan AWS Lambda rotasyon işlevini kullanarak veritabanı kimlik bilgilerini otomatik olarak döndürmek için AWS Secrets Manager'ı yapılandırdı. Lambda işlevi Secrets Manager uç noktasına ulaşamadığı için rotasyon başarısız oluyor. Lambda işlevinin Secrets Manager ile iletişim kurmasını sağlamanın en güvenli yolu nedir?

Doğru cevap, Secrets Manager hizmeti için VPC'ye bir interface VPC endpoint (AWS PrivateLink) eklemektir. Bu, Lambda işlevinin Secrets Manager API'sine özel bir IP adresi üzerinden VPC içinden güvenli ve özel olarak erişmesini sağlar. İnternet erişimi gerektirmez ve trafiği AWS ağı içinde tutar, bu da en güvenli yaklaşımdır. Diğer seçenekler neden yanlış: NAT Gateway eklemek, internet erişimi gerektirdiğinden ve trafiği genel internete yönlendirdiğinden güvenli değildir. Gateway VPC endpoint'leri yalnızca Amazon S3 ve DynamoDB için mevcuttur, Secrets Manager için değil. İnternet Gateway eklemek, VPC'nize internet erişimi sağlar ve bu da güvenlik risklerini artırır ve gereksizdir, çünkü Secrets Manager'a özel olarak erişmek mümkündür.