Skydda Lambda med VPC

Som standard körs AWS Lambda-funktioner i ett säkert och hanterat AWS-nätverk. Ibland behöver dock din Lambda-funktion komma åt resurser som inte är offentligt tillgängliga, till exempel en privat databas eller en intern tjänst.

I den här lektionen undersöker vi hur du placerar dina Lambda-funktioner i ett Virtual Private Cloud (VPC) för att få bättre nätverkskontroll och åtkomst till privata resurser.

Ett AWS-Virtual Private Cloud (VPC) fungerar som ditt eget isolerade virtuella nätverk i AWS-molnet. Du definierar dess IP-adressintervall, subnät, routningstabeller och nätverksgatewayer.

• Subnät: Indelningar i ditt VPC där du startar resurser. De kan vara publika (med internetåtkomst) eller privata (utan direkt internetåtkomst).
• Säkerhetsgrupper: Fungerar som virtuella brandväggar som kontrollerar inkommande och utgående trafik för dina resurser.

När du skapar en Lambda-funktion utan att konfigurera VPC-inställningar körs den i en hanterad nätverksmiljö som ägs av AWS. I denna standardkonfiguration har Lambda-funktionen direkt åtkomst till det publika internet och andra AWS-tjänster (som S3 och DynamoDB) via deras publika slutpunkter.

Den kan däremot inte få direkt åtkomst till resurser i dina privata VPC-subnät.

Det främsta skälet till att placera en Lambda-funktion i ett VPC är att den på ett säkert sätt ska kunna ansluta till privata resurser i ditt VPC. Vanliga användningsområden är:

• Åtkomst till en Amazon RDS-instans (Relational Database Service) i ett privat subnät.
• Anslutning till ett Amazon ElastiCache-kluster.
• Åtkomst till privata EC2-instanser eller containrar.
• Kommunikation med interna API:er eller tjänster som inte är exponerade mot det publika internet.

När du konfigurerar Lambda för VPC anger du två huvudkomponenter:

• Subnät: Du måste välja minst två privata subnät i olika tillgänglighetszoner för hög tillgänglighet. Lambda skapar ett Elastic Network Interface (ENI) i dessa subnät.
• Säkerhetsgrupper: Du kopplar en eller flera säkerhetsgrupper till din Lambda-funktion. Dessa kontrollerar nätverkstrafiken till och från ENI:t och gör att funktionen kan kommunicera med dina privata resurser.

Du kan koppla din Lambda-funktion till ett VPC via AWS Management Console, AWS CLI eller verktyg för Infrastructure as Code som AWS SAM eller CloudFormation. Här är ett konceptuellt AWS CLI-kommando för att uppdatera en funktions VPC-konfiguration:

Detta instruerar Lambda att skapa nätverksgränssnitt i de angivna subnäten och tillämpa säkerhetsgrupperna, så att funktionen kan ansluta till resurser i det VPC:t.

En viktig sak att känna till är att en Lambda-funktion förlorar sin standardåtkomst till det publika internet när du placerar den i privata subnät i ett VPC.

Om din Lambda-funktion behöver komma åt externa tjänster (t.ex. ett tredjeparts-API eller en annan AWS-tjänst via dess publika slutpunkt) från ett privat subnät måste du routa den utgående trafiken genom en NAT Gateway i ett publikt subnät. Detta ger internetåtkomst utan att exponera din Lambda-funktion direkt.

För att din Lambda-funktion ska kunna ansluta till ett VPC måste dess körningsroll ha specifika behörigheter för AWS Identity and Access Management (IAM). Dessa behörigheter gör att Lambda kan skapa och hantera de Elastic Network Interfaces (ENI:er) som behövs i ditt VPC.

• ec2:CreateNetworkInterface
• ec2:DeleteNetworkInterface
• ec2:DescribeNetworkInterfaces

Utan dessa behörigheter kan funktionen inte kopplas till VPC:t.

När du har konfigurerat din Lambda-funktion för VPC-åtkomst är det viktigt att testa anslutningen. Du kan:

• Anropa funktionen: Utlös din Lambda-funktion och kontrollera dess CloudWatch-loggar.
• Kontrollera fel: Leta efter nätverksrelaterade fel om funktionen inte kan ansluta till din privata resurs.
• Verifiera anslutningen: Om anslutningen lyckas bör loggarna visa tecken på kommunikation med din privata databas eller tjänst.

Att placera Lambda i ett VPC ger betydande fördelar, men medför också vissa saker att ta hänsyn till:

• Längre cold starts: De första anropen till Lambda-funktioner med VPC kan ibland vara långsammare eftersom det tar tid att konfigurera ENI:t.
• Kostnader för NAT Gateway: Om din Lambda-funktion behöver utgående internetåtkomst medför en NAT Gateway extra kostnader.
• Nätverkskomplexitet: Hantering av subnät, routning och säkerhetsgrupper tillför ett lager av nätverkskomplexitet.

Vi har lärt oss att konfigurering av Lambda-funktioner i ett VPC är viktigt för säker åtkomst till privata nätverksresurser. Detta innebär att välja privata subnät och säkerhetsgrupper samt att förstå konsekvenserna för internetåtkomst, som kräver en NAT Gateway.

Även om detta medför ökad nätverkskomplexitet och potentiellt längre cold starts är VPC-integration avgörande för att bygga säkra, datadrivna serverlösa applikationer som kommunicerar med privata AWS-tjänster.