Lambdan suojaaminen VPC:llä

Oletusarvoisesti AWS Lambda -funktiot suoritetaan suojatussa, hallinnoidussa AWS-verkossa. Joskus Lambdan on kuitenkin päästävä resursseihin, jotka eivät ole julkisesti saatavilla, kuten yksityiseen tietokantaan tai sisäiseen palveluun.

Tässä oppitunnissa tutustutaan Lambda-funktioiden sijoittamiseen Virtual Private Cloudiin (VPC), jotta verkon hallintaa voidaan tehostaa ja yksityisiin resursseihin päästä käsiksi.

AWS:n Virtual Private Cloud (VPC) on kuin oma eristetty virtuaaliverkkosi AWS-pilvessä. Määrität sen IP-osoitealueen, aliverkot, reititystaulut ja verkkoyhdyskäytävät.

• Aliverkot: VPC:n sisäisiä osioita, joihin resurssit käynnistetään. Ne voivat olla julkisia (Internet-yhteydellä) tai yksityisiä (ilman suoraa Internet-yhteyttä).
• Suojausryhmät: Toimivat virtuaalisina palomuureina ja hallitsevat resurssien saapuvaa ja lähtevää liikennettä.

Kun luot Lambda-funktion määrittämättä VPC-asetuksia, se suoritetaan AWS:n hallinnoimassa verkko­ympäristössä. Tässä oletusmäärityksessä Lambda-funktiolla on suora pääsy julkiseen Internetiin ja muihin AWS-palveluihin (kuten S3:een ja DynamoDB:hen) niiden julkisten päätepisteiden kautta.

Se ei kuitenkaan voi käyttää suoraan yksityisten VPC-aliverkkojesi resursseja.

Lambda-funktion sijoittamisen VPC:hen tärkein syy on mahdollistaa turvallinen yhteys VPC:n yksityisiin resursseihin. Yleisiä käyttötapauksia ovat:

• Yksityisessä aliverkossa olevan Amazon RDS (Relational Database Service) -instanssin käyttäminen.
• Yhteyden muodostaminen Amazon ElastiCache -klusteriin.
• Yksityisten EC2-instanssien tai säilöjen käyttäminen.
• Yhteyden muodostaminen sisäisiin API-rajapintoihin tai palveluihin, joita ei ole julkaistu Internetiin.

Kun määrität Lambdan VPC:tä varten, määrität kaksi pääkomponenttia:

• Aliverkot: Sinun on valittava korkean käytettävyyden takaamiseksi vähintään kaksi yksityistä aliverkkoa eri Availability Zone -alueilta. Lambda luo näihin aliverkkoihin Elastic Network Interfacen (ENI).
• Suojausryhmät: Liität Lambda-funktioosi yhden tai useamman suojausryhmän. Ne hallitsevat ENI:hin saapuvaa ja niistä lähtevää verkkoliikennettä, jolloin se voi viestiä yksityisten resurssiesi kanssa.

Voit liittää Lambda-funktion VPC:hen AWS Management Consolen, AWS CLI:n tai Infrastructure as Code -työkalujen, kuten AWS SAM:n tai CloudFormationin, avulla. Tässä on käsitteellinen AWS CLI -komento funktion VPC-määrityksen päivittämiseen:

Tämä käskee Lambdaa luomaan verkkoliitännät määritettyihin aliverkkoihin ja käyttämään suojausryhmiä, jolloin se voi muodostaa yhteyden kyseisen VPC:n resursseihin.

Tärkeä huomio: Kun sijoitat Lambda-funktion VPC:n yksityisiin aliverkkoihin, se menettää oletusarvoisen pääsyn julkiseen Internetiin.

Jos Lambdan on käytettävä ulkoisia palveluita (esimerkiksi kolmannen osapuolen APIa tai toista AWS-palvelua sen julkisen päätepisteen kautta) yksityisestä aliverkosta käsin, sen lähtevä liikenne on reititettävä julkisessa aliverkossa olevan NAT Gatewayn kautta. Näin Lambda saa Internet-yhteyden ilman, että sitä altistetaan suoraan.

Jotta Lambda-funktiosi voi muodostaa yhteyden VPC:hen, sen suoritusroolilla on oltava tietyt AWS Identity and Access Management (IAM) -oikeudet. Näiden oikeuksien avulla Lambda voi luoda ja hallita tarvittavia Elastic Network Interfaceja (ENI) VPC:ssäsi.

• ec2:CreateNetworkInterface
• ec2:DeleteNetworkInterface
• ec2:DescribeNetworkInterfaces

Ilman näitä oikeuksia funktion liittäminen VPC:hen epäonnistuu.

Kun olet määrittänyt Lambda-funktiollesi VPC-käytön, on tärkeää testata sen yhteydet. Voit tehdä seuraavaa:

• Kutsu funktiota: Käynnistä Lambda ja tarkista sen CloudWatch-lokit.
• Tarkista virheet: Jos yhteyden muodostaminen yksityiseen resurssiin epäonnistuu, etsi verkkoon liittyviä virheitä.
• Varmista yhteydet: Onnistuneessa tapauksessa lokeissa pitäisi näkyä merkkejä yhteydenpidosta yksityiseen tietokantaan tai palveluun.

Lambdan sijoittaminen VPC:hen tarjoaa merkittäviä hyötyjä, mutta siihen liittyy myös huomioitavia seikkoja:

• Pidemmät kylmäkäynnistysajat: VPC:tä käyttävien Lambda-funktioiden ensimmäiset kutsut voivat joskus olla hitaampia ENI:n määritykseen kuluvan ajan vuoksi.
• NAT Gatewayn kustannukset: Jos Lambda tarvitsee lähtevän Internet-yhteyden, NAT Gateway aiheuttaa lisäkustannuksia.
• Verkon monimutkaisuus: Aliverkkojen, reitityksen ja suojausryhmien hallinta lisää verkkoympäristön monimutkaisuutta.

Olemme oppineet, että Lambda-funktioiden määrittäminen VPC:n sisälle on olennaista yksityisten verkkoresurssien turvallista käyttöä varten. Tämä edellyttää yksityisten aliverkkojen ja suojausryhmien valitsemista sekä Internet-käytön vaikutusten ymmärtämistä (NAT Gatewayn käyttöä tarvitaan).

Vaikka VPC-integraatio lisää verkon monimutkaisuutta ja voi pidentää kylmäkäynnistystä, se on keskeinen osa turvallisten ja tietopohjaisten palvelimettomien sovellusten rakentamista, kun ne käyttävät yksityisiä AWS-palveluita.