Funções do Lambda: ambientes de execução, acionadores e manipuladores

O AWS Lambda é um serviço de computação sem servidor que executa seu código em resposta a eventos sem exigir que você provisione ou gerencie servidores. Você paga apenas pelo tempo de computação consumido — medido em milissegundos —, o que torna o Lambda extremamente econômico para cargas de trabalho esporádicas e orientadas por eventos. O Lambda aumenta automaticamente a escala de zero para milhares de execuções simultâneas com base nos eventos recebidos.

O Lambda oferece suporte a ambientes de execução gerenciados, incluindo Python, Node.js, Java, Go, Ruby, .NET e outros. AWS mantém esses ambientes de execução e aplica correções de segurança. Para linguagens ou versões de ambientes de execução que não têm suporte nativo, você pode fornecer um ambiente de execução personalizado por meio de um executável bootstrap ou empacotar sua função em uma imagem de contêiner (de até 10 GB), em vez de usar um pacote de implantação ZIP.

Toda função do Lambda tem um manipulador — o ponto de entrada que seu código deve exportar. A AWS chama o manipulador com dois argumentos: o objeto evento (os dados de entrada do acionador) e um objeto de contexto (metadados sobre a invocação, como o nome da função, o tempo restante e o ID da solicitação). O manipulador retorna uma resposta que, dependendo do tipo de invocação, pode ser devolvida ao chamador.

O Lambda permite configurar a memória de 128 MB a 10.240 MB. A CPU é alocada proporcionalmente à memória: mais memória significa mais CPU. O tempo limite pode ser definido de 1 segundo a 15 minutos; se sua função exceder esse limite, o Lambda a encerra. Você também dispõe de armazenamento efêmero /tmp (512 MB por padrão, configurável até 10 GB) para arquivos temporários durante uma única invocação. Esse armazenamento não persiste entre invocações.

As funções do Lambda podem ser invocadas de forma síncrona (o chamador aguarda o resultado — usada pelo API Gateway e pelo ALB) ou assíncrona (o chamador não aguarda — usada por eventos do S3 e pelo SNS). No modo assíncrono, o Lambda tenta novamente as execuções com falha até duas vezes e pode encaminhar os eventos com falha para uma fila de mensagens não entregues (SQS ou SNS) ou para um barramento de eventos do EventBridge. Escolher o modo de invocação adequado afeta o projeto do tratamento de erros.

O Lambda se integra nativamente a dezenas de serviços da AWS como fontes de eventos (acionadores):

• API Gateway / ALB: solicitações HTTP (síncronas)
• S3: eventos de criação/exclusão de objetos (assíncronos)
• Streams do DynamoDB / Kinesis: transmissão de registros (baseada em sondagem, síncrona)
• SQS: mensagens da fila (baseada em sondagem)
• SNS: notificações de tópicos (assíncronas)
• EventBridge: eventos agendados ou personalizados
• Registros do CloudWatch: filtros de assinatura de registros

Toda função do Lambda deve ter uma função de execução do IAM que conceda à função permissões para chamar outros serviços da AWS. Por exemplo, se sua função lê do S3 e grava no DynamoDB, a função de execução precisa das permissões s3:GetObject e dynamodb:PutItem. Siga o princípio do menor privilégio: conceda apenas as permissões de que sua função realmente precisa. A função de execução básica também deve incluir logs:CreateLogGroup, logs:CreateLogStream e logs:PutLogEvents para os registros do CloudWatch.

O Lambda aceita dois formatos de implantação: um arquivo ZIP (50 MB compactado, 250 MB descompactado), carregado diretamente ou por meio do S3, e uma imagem de contêiner (até 10 GB), armazenada no Amazon ECR. Os pacotes ZIP são mais rápidos de implantar e adequados para funções pequenas e camadas do Lambda. As imagens de contêiner são ideais para grandes conjuntos de dependências ou para equipes que já usam fluxos de trabalho baseados no Docker. Ambos os formatos podem usar os mesmos ambientes de execução e o mesmo padrão de manipulador.

Transmita configurações ao Lambda por meio de variáveis de ambiente. Para valores confidenciais (chaves de API e senhas de banco de dados), armazene-os no AWS Secrets Manager ou no Parameter Store e recupere-os no momento da inicialização da função (fora do manipulador) para aproveitar a reutilização do contexto de execução. Nunca codifique segredos diretamente no código da função nem mantenha variáveis de ambiente em texto simples; use criptografia do KMS para as variáveis de ambiente do Lambda e proteja-as enquanto estiverem armazenadas.

A primeira invocação de uma função do Lambda após a implantação ou após um período de inatividade incorre em uma inicialização a frio: a AWS precisa inicializar o ambiente de execução, baixar o pacote de implantação e executar o código de inicialização. As invocações subsequentes no mesmo ambiente de execução são inicializações a quente e são muito mais rápidas. Mantenha o código de inicialização global (clientes do SDK e conexões com o banco de dados) fora do manipulador para reutilizar o contexto de execução entre invocações a quente.

Por padrão, o Lambda é executado em uma VPC gerenciada pela AWS e pode acessar a Internet, mas não os recursos da sua VPC privada. Para acessar um banco de dados RDS ou um cluster do ElastiCache em uma sub-rede privada, configure o Lambda para ser executado dentro da sua VPC, especificando sub-redes e grupos de segurança. As funções do Lambda habilitadas para VPC usam ENIs Hyperplane para a rede (sem provisionamento adicional de ENI por função), o que elimina a penalidade histórica de inicialização a frio das funções do Lambda em VPC.

Nesta lição, você aprendeu que os ambientes de execução do Lambda são compatíveis com Python, Node.js, Java, Go e outras linguagens, incluindo ambientes de execução personalizados e imagens de contêiner para casos avançados; os acionadores, incluindo API Gateway (síncrono) e S3/SNS (assíncronos), definem como os eventos chegam às funções do Lambda; e a função de execução, as variáveis de ambiente e a configuração da VPC são aspectos essenciais para conectar o Lambda com segurança a outros serviços da AWS. A seguir, exploraremos a simultaneidade, a limitação e a simultaneidade reservada do Lambda.