Serverless AWS Lambda Development · レッスン

ネットワークセキュリティのベストプラクティス

セキュリティグループ、ネットワークACL、プライベートエンドポイントを使ってVPC内のLambda関数に堅牢なネットワークセキュリティを実装し、攻撃対象領域を最小化します。

「ネットワークセキュリティのベストプラクティス」はCoddyKit上の無料Serverless AWS Lambda Developmentレッスンです。これはレッスン3/4です。下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。これはServerless AWS Lambda Development学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Serverless AWS Lambda Developmentコースには全4レッスンが含まれています。

このレッスンの一部はまだ翻訳されておらず、英語で表示されています。

Secure Lambda in a VPC

When your AWS Lambda function operates within a Virtual Private Cloud (VPC), it gains access to private resources like databases. This also means you need to secure its network communication.

Network security is critical to prevent unauthorized access and data breaches for your serverless applications.

Security Groups Explained

Security Groups (SGs) act as virtual firewalls for your Lambda's network interfaces within a VPC.

They control inbound and outbound traffic at the instance (ENI) level.
SGs are stateful: if you allow outbound traffic, the return inbound traffic is automatically allowed.
You attach SGs directly to your Lambda function's ENIs when it's configured in a VPC.

SG Rules: Least Privilege

When setting up Security Group rules, always follow the principle of least privilege.

Inbound Rules: Specify which traffic is allowed into your Lambda (e.g., from a database).
Outbound Rules: Specify which traffic your Lambda is allowed to send out (e.g., to S3 or a database).

Only open ports and allow traffic from trusted sources or to necessary destinations.

Network ACLs (NACLs)

Network Access Control Lists (NACLs) provide an additional layer of security at the subnet level within your VPC.

NACLs are stateless: you must explicitly allow both inbound and outbound return traffic.
They can include both allow and deny rules, processed in order by rule number.
NACLs apply to all resources within a subnet, including your Lambda's ENIs.

SG vs. NACL Comparison

Both Security Groups and NACLs filter network traffic, but they operate at different levels:

Security Groups: Instance-level (ENI), stateful, allow rules only.
NACLs: Subnet-level, stateless, allow & deny rules, processed by rule number.

Typically, you use SGs for granular control over specific resources and NACLs as a broader, coarser security layer for subnets.

Accessing AWS Services Privately

When your Lambda function is in a VPC, its traffic to public AWS services (like S3, DynamoDB, CloudWatch) would normally exit the VPC via a NAT Gateway or Internet Gateway.

This can introduce security risks and extra costs. VPC Endpoints allow private, secure communication to these services within your VPC.

Interface Endpoints Explained

Interface Endpoints (powered by AWS PrivateLink) provide a private connection to services using an Elastic Network Interface (ENI) in your VPC.

They allow your Lambda to access services like S3, DynamoDB, and CloudWatch Logs without traversing the public internet.
Traffic stays entirely within the AWS network, enhancing security and potentially reducing latency.

Endpoint Security

VPC Endpoints themselves can be secured:

Endpoint Policies: You can attach IAM resource policies directly to an endpoint to control which principals can use it and what actions they can perform.
Security Groups: For Interface Endpoints, you can associate a Security Group with the endpoint's ENIs. This SG controls traffic to and from the endpoint.

This ensures only authorized Lambda functions or resources can use the private connection.

Secure S3 Access Scenario

Imagine a Lambda function in a VPC that needs to upload files to an S3 bucket.

To do this securely and privately, you would:

Configure the Lambda in a private subnet with specific Security Group rules.
Set up an S3 Interface Endpoint in your VPC.
Apply an Endpoint Policy to the S3 Endpoint and attach a Security Group to its ENIs.

This ensures S3 traffic never leaves the AWS private network.

Lambda S3 Interaction

This Python Lambda function uploads a simple text file to an S3 bucket. When deployed within a VPC, its network access to S3 would be governed by the Security Groups, Network ACLs, and VPC S3 Endpoint configured in your VPC.

import boto3
import os

def lambda_handler(event, context):
    s3_client = boto3.client('s3')
    bucket_name = os.environ.get('BUCKET_NAME', 'your-secure-bucket-name')
    file_content = "Hello from a secure Lambda!"
    file_name = "secure_lambda_output.txt"

    try:
        s3_client.put_object(Bucket=bucket_name, Key=file_name, Body=file_content)
        return {
            'statusCode': 200,
            'body': f'Successfully uploaded {file_name} to {bucket_name}'
        }
    except Exception as e:
        print(f"Error uploading to S3: {e}")
        return {
            'statusCode': 500,
            'body': f'Failed to upload to S3: {str(e)}'
        }

Network Security Check

Which of the following statements about network security for Lambda functions in a VPC are TRUE?

Recap & Best Practices

You've learned how to secure your Lambda functions within a VPC!

Security Groups offer stateful, instance-level traffic control.
Network ACLs provide stateless, subnet-level filtering.
VPC Endpoints enable private access to other AWS services like S3 and DynamoDB.

Always apply the principle of least privilege to minimize your attack surface and keep your serverless applications secure.

よくある質問

「ネットワークセキュリティのベストプラクティス」レッスンは無料ですか？

はい。「ネットワークセキュリティのベストプラクティス」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Serverless AWS Lambda Developmentコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Serverless AWS Lambda Developmentコースには全4レッスンが含まれています。

「ネットワークセキュリティのベストプラクティス」で何を学びますか？

セキュリティグループ、ネットワークACL、プライベートエンドポイントを使ってVPC内のLambda関数に堅牢なネットワークセキュリティを実装し、攻撃対象領域を最小化します。ブラウザで直接実行するハンズオンコードでServerless AWS Lambda Developmentを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。

Serverless AWS Lambda Developmentを始めるのに経験は必要ですか？

事前経験は必要ありません。CoddyKitのServerless AWS Lambda Developmentは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。これはレッスン3/4です。

「ネットワークセキュリティのベストプラクティス」レッスンにはどのくらい時間がかかりますか？

ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。

このServerless AWS Lambda Developmentレッスンでコードを書いて実行できますか？

はい。すべてのServerless AWS Lambda Developmentレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。

このコースのすべてのレッスン

← Serverless AWS Lambda Developmentに戻る