amazon-web-services - 私有(private)链接是否适用于 lambda 函数？

Question

我有一个 ECS fargate 容器在无法访问互联网的私有(private) VPC 中运行。它需要通过 AWS SDK 调用 lambda。根据我的理解，AWS 为 lambda 创建了一个默认的公共(public)端点，当我调用 invokeLambda 方法时，流量将始终流向互联网。如果我的理解是正确的，那意味着我的 Fargate 容器将无法调用 lambda。对吗？

如果是对的，替代方案是什么？目标是流量绝不会流向互联网。

• 我可以为我的 lambda 创建私有(private)链接端点吗？

• 或者创建一个带有连接到 lambda 的 VPC 端点的 API 网关？

Answer 1

If my understanding is right, that means my Fargate container won't be able to call the lambda. Is it right?

是的。如果没有 NAT 网关或实例，您将无法直接从私有(private)子网调用 lambda 函数。

Can I create a private link endpoint for my lambda?

遗憾的是没有。 lambda 没有 VPC 接口(interface)端点。

Or create a API gateway with VPC endpoint which connects to lambda?

是的，这应该可以通过创建 private API gateway 来实现.私有(private) API 只能从您的 VPC 中访问。但是到 lambda 的 API 网关仍然可能通过互联网。

Security Overview of AWS Lambda白皮书写道:

Invocations from Amazon Kinesis and DynamoDB streams, SQS queues, Application Load Balancer,and API Gateway follow the request-response path

For request-response invocations, the payload passes from the API caller—such as AWS API Gateway or the AWS SDK—to a load balancer, and then to the Lambda invoke service. This service identifies an execution environment for the function, and passes the payload to that execution environment to complete the invocation. Traffic to the load balancer passes over the internet, and is secured with TLS.