尝试从 AWS Lambda 连接到 Boto3 客户端并接收超时

Question

当我在 Amazon Virtual Private Cloud (Amazon VPC) 之外运行时，我的 AWS Lambda 函数代码运行良好。但是，当我将函数配置为连接到 VPC 时，我收到函数超时错误。我该如何解决这些问题？

def get_db_connection_config():
    # Create a Secrets Manager client.
    session = boto3.session.Session()
    client = session.client(
        service_name='secretsmanager',
        region_name=region_name
    )

    # In this sample we only handle the specific exceptions for the 'GetSecretValue' API.
    # See https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetSecretValue.html
    # We rethrow the exception by default.

    try:
        logger.info("Retrieving MySQL database configuration...")
        get_secret_value_response = client.get_secret_value(
            SecretId=secret_name
        )

    except ClientError as error:
        logger.error(error)
        sys.exit()

    else:
        # Decrypts secret using the associated KMS CMK.
        # Depending on whether the secret is a string or binary, one of these fields will be populated.
        if 'SecretString' in get_secret_value_response:
            secret = get_secret_value_response['SecretString']
            return json.loads(secret)
        else:
            return base64.b64decode(get_secret_value_response['SecretBinary'])

Answer 1

当 Lambda 驻留在 AWS 网络中时，它能够使用互联网连接到这些服务，但是一旦它加入您的 VPC，出站互联网流量也将通过您的 VPC 进行路由。由于可能没有出站互联网连接，Lambda 无法访问互联网。

如果您的函数需要访问互联网，请使用网络地址转换 (NAT)。将函数连接到公共子网不会为其提供 Internet 访问权限或公共 IP 地址。

为了让您的 Lambda 在 VPC 中能够与其他 AWS 服务通信，必须具备以下条件之一。

第一个选项是您创建 NAT gateway 或 NAT instance，然后将其添加到您的 Lambda 所在的 route table 中。要明确的是，此子网应该是私有子网，仅通过使用0.0.0.0/0 记录的 NAT 将阻止到具有共享同一子网的公共 IP 地址的实例的入站流量。

第二个选项是您将VPC endpoints 用于服务，通过这样做，之前通过公共互联网的任何流量将改为使用直接连接到 AWS 服务本身的私有连接。请注意，尚未涵盖所有 AWS 服务。