本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Lambda 轮换函数的网络访问权限
因为通过 Lambda 函数进行旋转，当 Secrets Manager 使用 Lambda 函数轮换密钥时，Lambda 轮换函数必须能够访问该密钥。如果您的密钥包含凭证，则 Lambda 函数还必须能够访问这些凭证的来源，例如数据库或服务。
- 访问密钥
-
Lambda 轮换功能必须能够访问 Secrets Manager 端点。如果您的 Lambda 函数可以访问互联网，则可以使用公共终端节点。若要查找端点，请参阅 Amazon Secrets Manager 端点。
如果您的 Lambda 函数在不具备互联网访问权限的 VPC 中运行，我们建议您在 VPC 内配置 Secrets Manager 服务私有终端节点。然后，您的 VPC 可以拦截发往公共区域终端节点的请求并将其重定向到私有终端节点。有关更多信息，请参阅 VPC 端点。
或者，您可以通过向 VPC 添加 NAT 网关或互联网网关（这将允许来自您 VPC 的流量访问公有端点），允许 Lambda 函数访问 Secrets Manager 公有端点。这会使 VPC 面临一定的风险，因为网关的 IP 地址可能会受到来自公有 Internet 的攻击。
- （可选）访问数据库或服务
-
对于诸如 API 密钥之类的密钥，无需随密钥更新源数据库或服务。
如果数据库或服务在 VPC 中的 Amazon EC2 实例上运行，建议将 Lambda 函数配置为在同一 VPC 中运行。然后轮换功能可以直接与您的服务通信。有关更多信息，请参阅配置 VPC 访问。
要允许 Lambda 函数访问数据库或服务，您必须确保附加到 Lambda 轮换函数的安全组允许与数据库或服务的出站连接。您还必须确保附加到数据库或服务的安全组允许来自 Lambda 轮换函数进行入站连接。