启用 VPC 的 lambda 架构会更好吗？答案

【问题标题】：Is VPC enabled lambda architecture can be any better?启用 VPC 的 lambda 架构会更好吗？
【发布时间】：2017-06-22 02:21:57
【问题描述】：

我们的架构是一种 FAAS 方法，我们的整个后端都在 Lambda 上。持久层是一个托管的 Cloud Mongo 集群，即所谓的Atlas。 VPC 中的 Lambda 使用对等 VPC 连接与 mongo 集群通信。

我需要一个支持 VPC 的 Lambda，因为 Lambda 使用 VPC 对等连接 连接与 mongo 集群通信。我需要一个 NAT 网关，因为 Lambda 内部的资源必须与外部互联网资源通信。这是我的 VPC-Lambda-Mongo 架构：

所以我的问题是：

【问题讨论】：

【解决方案1】：

如果安全和安全非常重要，您为什么还要考虑公开子网？您可以节省几块钱，但任何意外打开安全组中的入站端口都是有风险的。
您可以使用 NAT 实例代替 NAT 网关。如果您通过 NAT 的出站流量是零星的，那么请选择t2.micro NAT（9 美元/月）或t2.nano NAT（5 美元/月）
最重要的是：在公共子网中运行 Lambda 可能不符合 PCI/SOC2
我不确定公共子网中的 Lambda 是否可以直接访问 Internet。如果可能，那么传出数据包的源 IP 是什么？

【讨论】：

感谢@helloV 的cmets。我的错，我完全忘记了这个docs.aws.amazon.com/lambda/latest/dg/vpc.html。即使 Lambda 位于公共子网中，它也无法访问 Internet 资源，除非它具有 NAT 网关。感谢您提供合规性信息和 NAT 实例 建议。完全有道理。我已经改变了问题。顺便说一句，如果您觉得目前的架构可以改进，请告诉我
公有子网中的 Lambda 无法直接访问 Internet。他们没有获得分配给他们的 IP 地址。如果您希望 Lambda 能够同时访问 VPC 和 Internet，则必须在具有 NAT 网关（或实例）的私有子网中运行它们。