En son değişiklikleri bir Amazon Aurora veritabanından alan bir Lambda fonksiyonunun güvenliğini denetliyorsunuz. Hem Lambda hem de DB aynı VPC'de bulunuyor. Veritabanı kimlik bilgileri Lambda ortam değişkenleri aracılığıyla sağlanıyor. Lambda fonksiyonu verileri toplar ve SSE-KMS ile şifrelenmiş bir S3 bucket'ına yazar. Verilerin İnternet üzerinden geçmemesi gerekiyor. Veritabanı kimlik bilgilerinin ele geçirilmesi durumunda, şirket etkiyi en aza indirmek istiyor. Ne önermelisiniz?

Doğru seçenek, veritabanı kimlik bilgilerinin güvenliğini artırır ve S3'e özel bağlantı sağlar. Aurora DB için IAM veritabanı kimlik doğrulaması, geleneksel kimlik bilgileri yerine IAM rolünü kullanarak kimlik doğrulaması yapmaya olanak tanır, bu da Lambda ortam değişkenlerinde hassas bilgileri saklama ihtiyacını ortadan kaldırır ve kimlik bilgilerinin ele geçirilmesi riskini azaltır. Lambda rolünü bu şekilde yapılandırmak, en az ayrıcalık ilkesini takip eder. S3 için bir ağ geçidi VPC uç noktası oluşturmak, Lambda'nın S3'e İnternet üzerinden geçmeden özel olarak bağlanmasını sağlar ve veri aktarım gereksinimini karşılar. Diğer seçenekler yanlıştır çünkü: İkinci seçenek, S3'e HTTPS'yi zorunlu kılsa da, S3'e özel bağlantı sağlamaz ve verilerin İnternet üzerinden geçmesini engellemez. Üçüncü seçenek, kimlik bilgilerini Parameter Store'da saklayarak bir iyileştirme sunsa da, IAM veritabanı kimlik doğrulaması kadar güvenli değildir ve Lambda kodunda kimlik bilgilerini alacak şekilde değişiklik gerektirir. Dördüncü seçenek, Secrets Manager'ı kullanmak iyi bir uygulama olsa da, IAM veritabanı kimlik doğrulaması kadar güvenli değildir ve S3'e özel bağlantı sağlamaz.