如何调试连接问题：从 VPC 中的 Lambda 函数连接到 SSM VPC 端点

Question

我在 VPC 中有一个 lambda 函数，它应该能够通过 VPC 端点连接到 SSM。事实上，我已经在另一个 VPC（默认）中使用它，但无法让它在我使用 CloudFormation 构建的新 VPC 中运行。此外，我可以通过同一 VPC 的 VPC 端点连接到 S3：

• 部署 Lambda 的子网与 SSM VPC 端点相关联。
• VPC 终端节点与一个安全组相关联，该安全组在端口 443 上接受来自应用层安全组（与 lambda 函数相关联）的传入请求。
• Lambda 函数的应用层安全组有一个传出规则，允许它在 0.0.0.0/0 的任何地方广播
• 子网的 NACL 允许所有传入和传出流量。

• lambda 函数的角色有权对所有资源执行所有 SSM 操作（只是排除 iam 权限的临时情况）

• 我尝试过 console.log 调试，它显示 lambda 函数在尝试从 SSM 获取信息后超时。

• 我已尝试使用流日志，但看不到任何连接，或任何流入和流出 SSM 的数据。
• 我比较了 2 个 VPC（其中一个可以工作，另一个不工作），我看不出规则有任何差异。

谁能建议我如何调试它？

谢谢

Answer 1

终于找到了问题，并认为我会发布这个以防万一其他人有同样的问题。

需要启用私有 dns 的 VPC 终端节点。

通过控制台手动创建 VPC 端点时，Enable Private DNS Name 复选框默认选中。

但是，当使用 CloudFormation 创建 VPC 端点时，PrivateDnsEnabled 属性需要显式设置为 true。